nmap 
┌──(root㉿kali)-[~]

└─# nmap -p- -A 192.168.157.233

Starting Nmap 7.94SVN ( https://nmap.org ) at 2024-11-25 07:59 UTC

Nmap scan report for 192.168.157.233

Host is up (0.072s latency).

Not shown: 64513 closed tcp ports (reset), 1019 filtered tcp ports (no-response)

PORT   STATE SERVICE VERSION

21/tcp open  ftp     ProFTPD

22/tcp open  ssh     OpenSSH 8.2p1 Ubuntu 4ubuntu0.5 (Ubuntu Linux; protocol 2.0)

| ssh-hostkey:

|   3072 c1:99:4b:95:22:25:ed:0f:85:20:d3:63:b4:48:bb:cf (RSA)

|   256 0f:44:8b:ad:ad:95:b8:22:6a:f0:36:ac:19:d0:0e:f3 (ECDSA)

|_  256 32:e1:2a:6c:cc:7c:e6:3e:23:f4:80:8d:33:ce:9b:3a (ED25519)

80/tcp open  http    Apache httpd 2.4.41 ((Ubuntu))

|_http-title: Welcome!

| http-robots.txt: 2 disallowed entries

|_/app_dev.php /app_dev.php/*

|_http-server-header: Apache/2.4.41 (Ubuntu)

Aggressive OS guesses: Linux 5.0 (92%), Linux 5.0 - 5.4 (92%), Linux 4.15 - 5.8 (89%), HP P2000 G3 NAS device (89%), Linux 5.3 - 5.4 (89%), Linux 2.6.32 (89%), Ubiquiti AirMax NanoStation WAP (Linux 2.6.32) (88%), Linux 5.0 - 5.5 (88%), Linux 5.1 (88%), Ubiquiti AirOS 5.5.9 (88%)

No exact OS matches for host (test conditions non-ideal).

Network Distance: 4 hops

Service Info: OS: Linux; CPE: cpe:/o:linux:linux_kernel

TRACEROUTE (using port 80/tcp)

HOP RTT      ADDRESS

1   70.42 ms 192.168.45.1

2   70.27 ms 192.168.45.254

3   71.39 ms 192.168.251.1

4   71.81 ms 192.168.157.233

OS and Service detection performed. Please report any incorrect results at https://nmap.org/submit/ .

Nmap done: 1 IP address (1 host up) scanned in 55.54 seconds
dirsearch 
[08:00:35] Starting:

[08:00:37] 301 -  315B  - /js  ->  http://192.168.157.233/js/

[08:00:41] 403 -  280B  - /.ht_wsr.txt

[08:00:41] 403 -  280B  - /.htaccess.bak1

[08:00:41] 403 -  280B  - /.htaccess.orig

[08:00:41] 403 -  280B  - /.htaccess.save

[08:00:41] 403 -  280B  - /.htaccess.sample

[08:00:41] 403 -  280B  - /.htaccess_extra

[08:00:41] 403 -  280B  - /.htaccess_orig

[08:00:41] 403 -  280B  - /.htaccess_sc

[08:00:41] 403 -  280B  - /.htaccessOLD

[08:00:41] 403 -  280B  - /.htaccessBAK

[08:00:41] 403 -  280B  - /.htaccessOLD2

[08:00:41] 403 -  280B  - /.htm

[08:00:41] 403 -  280B  - /.html

[08:00:41] 403 -  280B  - /.htpasswd_test

[08:00:41] 403 -  280B  - /.httr-oauth

[08:00:41] 403 -  280B  - /.htpasswds

[08:00:43] 403 -  280B  - /.php

[08:00:47] 403 -  471B  - /_fragment

[08:00:56] 301 -  312B  - /app.php  ->  http://192.168.157.233/

[08:00:56] 200 -    9KB - /app_dev.php

[08:01:00] 403 -   46B  - /config.php

[08:01:02] 301 -  316B  - /css  ->  http://192.168.157.233/css/

[08:01:06] 200 -    6KB - /favicon.ico

[08:01:09] 301 -  316B  - /img  ->  http://192.168.157.233/img/

[08:01:11] 404 -  277B  - /javascript/tiny_mce

[08:01:11] 301 -  323B  - /javascript  ->  http://192.168.157.233/javascript/

[08:01:11] 404 -  277B  - /javascript/editors/fckeditor

[08:01:20] 301 -  323B  - /phpmyadmin  ->  http://192.168.157.233/phpmyadmin/

[08:01:21] 404 -  277B  - /phpmyadmin/ChangeLog

[08:01:21] 404 -  277B  - /phpmyadmin/docs/html/index.html

[08:01:21] 404 -  277B  - /phpmyadmin/scripts/setup.php

[08:01:21] 404 -  277B  - /phpmyadmin/README

[08:01:21] 404 -  277B  - /phpmyadmin/phpmyadmin/index.php

[08:01:21] 200 -    3KB - /phpmyadmin/doc/html/index.html

[08:01:22] 200 -    3KB - /phpmyadmin/index.php

[08:01:22] 200 -    3KB - /phpmyadmin/

[08:01:25] 200 -   85B  - /robots.txt

[08:01:26] 403 -  280B  - /server-status

[08:01:26] 403 -  280B  - /server-status/

发现了cms的名称

我们在hacktrick上找到了这篇文章

https://infosecwriteups.com/how-i-was-able-to-find-multiple-vulnerabilities-of-a-symfony-web-framework-web-application-2b82cd5de144

通读这篇文章我们发现该网站是开启了debug模式 然后我们可以读取到配置文件



尝试过用这个密码以及用户名ssh登录 发现不行

那就是看看这个secret有啥用了

hacktricks第一篇文章告诉我们有了secret就能执行代码



通读完文章我大概知道逻辑了 当我们有了secret是这个secret加密后通过get方法作为的参数hash 来当做凭据

然后我们就可以指定调用php函数以及向该函数传参

但是我尝试构造出hash之后拼接文章里的payload发现不能调用到函数

估计是不同版本的secret加密逻辑不同 导致我的生成的hash是错误的

最后还是上网找到了exp

https://github.com/ambionics/symfony-exploits/blob/main/secret_fragment_exploit.py





成功执行代码

成功rce

接下来开始反弹shell环节

进入之后用之前我们读取到的用户名以及密码连接mysql看看里面有啥

database_user: symfony

database_password: symfony_db_password

服了啥也没有

想到前面我们nmap 扫到的proftp 没有用上

看看他的配置文件 一开始我也不知道有啥用 以为用户名和密码就是这个 但是就是连不上 然后就不会了

老规矩看wp

好吧我的pg靶场又出问题了

wp地址

https://al1z4deh.medium.com/proving-grounds-fractal-30d61cb72b6f

wp的数据库里面是有proftp这个库的但是咱们连这个库都没有

我看了一下具体过程

他的ftp登录用户是在mysql里创建的也就是说我们只有在mysql里面添加benoit 就能以他的身份登录ftp 而且登录的密码也是我们设置的

登录后上传ssh公钥

然后我们用kali 的id_rsa登录之后发现这个用户sudo 执行任何命令都可以

就直接提权了

我只能说太难了，难上天了我感觉pg 靶场的评分完全不合理 这个靶场在里面Easy难度 但是这个我觉得比Intermediate的大部分靶场都要难上不少

Fractal pg walkthrough Easy的更多相关文章

  1. [Windows Azure] Walkthrough to Configure System Center Management Pack for Windows Azure Fabric Preview for SCOM 2012 SP1 (with a MetricsHub Bonus)

    The wait is finally over. This is a huge update to the Azure Management Pack over the one that was r ...

  2. 简析服务端通过GT导入SHP至PG的方法

    文章版权由作者李晓晖和博客园共有,若转载请于明显处标明出处:http://www.cnblogs.com/naaoveGIS/ 1.背景 项目中需要在浏览器端直接上传SHP后服务端进行数据的自动入PG ...

  3. PG 中 JSON 字段的应用

    13 年发现 pg 有了 json 类型,便从 oracle 转 pg,几年下来也算比较熟稔了,总结几个有益的实践. 用途一:存储设计时无法预料的文档性的数据.比如,通常可以在人员表准备一个 json ...

  4. pg gem 安装(postgresql94)

    使用下面命令安装报错 gem install pg 错误: [root@AS-test middle_database]# gem install pgBuilding native extensio ...

  5. 【转】Windows下使用libsvm中的grid.py和easy.py进行参数调优

    libsvm中有进行参数调优的工具grid.py和easy.py可以使用,这些工具可以帮助我们选择更好的参数,减少自己参数选优带来的烦扰. 所需工具:libsvm.gnuplot 本机环境:Windo ...

  6. #pg学习#postgresql的安装

    1.按照官网给的步骤编译安装(Mac安装是比较容易的,相比Liunx) cd /Users/renlipeng/Desktop/postgresql-9.5.1 ./configure --prefi ...

  7. Struts2 easy UI插件

    一.easy UI是类似于jQuery UI的插件库,它提供了丰富的各种常用插件:tree.datagrid... tree插件: 语法:$(selector).tree([settings]); 常 ...

  8. Easy UI常用插件使用

    一.easy UI是类似于jQuery UI的插件库,它提供了丰富的各种常用插件:tree.datagrid... tree插件: 语法:$(selector).tree([settings]); 常 ...

  9. PG 函数的易变性（Function Volatility Categories）

    此概念的接触是在做分区表的时候碰到的,分区表按时间字段分区,在查询时当where条件中时间为now()或者current_time()等时是无法查询的,即使进行格式转换也不行,只有是时间格式如‘201 ...

  10. UVA-11991 Easy Problem from Rujia Liu?

    Problem E Easy Problem from Rujia Liu? Though Rujia Liu usually sets hard problems for contests (for ...

随机推荐

  1. SqlSugarClient 代码优先建表， 根据给定的实体类，创建SQL语句, 之后创建MySQL表

    using SqlSugar; using System; using System.Collections.Generic; using System.Reflection; using Syste ...

  2. youtube视频下载，youtube-dl

    []为选填,用的时候去掉[] 用pip装youtube-dl pip install -U youtube-dl [--proxy=127.0.0.1:7890] youtube-dl下载youtub ...

  3. Linux中更新系统时间、同步系统时间和硬件时间

    更新系统的时间 ​ 1.手动修改 ​ date -s # 不建议 ​ 2.时间同步服务器 ​ ntpdate # 需要安装命令 yum -y install ntpdate ​ [root@oldbo ...

  4. npm报错error:0308010C:digital envelope routines::unsupported

    error:0308010C:digital envelope routines::unsupported 出现这个错误是因为 node.js V17版本中最近发布的OpenSSL3.0, 而Open ...

  5. dotnet学习笔记-专题06-过滤器和中间件-01

    1. 基本概念 在ASP.NET Core中,中间件和过滤器都是处理HTTP请求的重要组件,但它们在应用中的位置.作用范围以及使用方式有所不同. 1.1 中间件和过滤器的区别 1.1.1 中间件 位置 ...

  6. Java GC 调试手记

    摘要 本文记录GC调试的一次实验过程和结果. GC知识要点回顾 问题1:为什么要调试GC参数?在32核处理器的系统上,10%的GC时间导致75%的吞吐量损失.所以在大型系统上,调试GC是以小博大的不错 ...

  7. Java通用分页

    一. 要分页我们必须要有数据库,所以我们先准备下数据库,其数据库脚步如下: --以下是创建数据库和数据库表以及向数据库插入数据  use master   Go   if exists(select ...

  8. BurpSuite-暴力破解以及验证码识别绕过

    声明! 学习视频来自B站up主 泷羽sec 有兴趣的师傅可以关注一下,如涉及侵权马上删除文章,笔记只是方便各位师傅的学习和探讨,文章所提到的网站以及内容,只做学习交流,其他均与本人以及泷羽sec团队无 ...

  9. .NET 6，7，8 本地化的 IntelliSense 文件

    官方的汉化教程 目前仅提供了.NET5 的本地化 IntelliSense 文件 https://mp.weixin.qq.com/s?__biz=MzI3ODc3NzIxMw==&mid=2 ...

  10. DA14531芯片固件逆向系列（4）- L2CAP及ATT层收包再分析

    文章首发地址 https://xz.aliyun.com/t/9199 前言 上一篇文件分析了DA14531从收包中断开始一直到L2CAP层的数据包处理过程,最近又抽了一点时间将L2CAP层和ATT层 ...