vulnhub靶场breakout-2-morpheus

breakout-2-morpheus

本地虚拟机部署，攻击机Kali(IP:10.1.1.128)
主机发现

1. nmap -sn -T4 10.1.1.0/24

复制代码

确定目标主机IP地址10.1.1.130
端口扫描

TCP端口扫描

1. nmap --min-rate 10000 -p- 10.1.1.130 -oA nmap_output/ports

复制代码

1. --min-rate 最低速率，由于本地虚拟机部署，无需考虑被封杀和资源消耗

复制代码

实战红队中：

1. nmap -sS -n -Pn -T2 --max-rate 2000 --max-retries 2 -p- 10.1.1.130 -oA nmap_output/ports

复制代码

1. -sS        半开扫描，并伪造源IP地址 -n        不使用DNS解析 -Pn        不做存活探测 -T        指定扫描速率，不指定默认为T3（1~5，数字越大扫描越快） --max-rate        最大速率 --max-retries        最大尝试次数 -oA        三种格式（全格式）输出结果进行保存

复制代码

开放端口：22，80，81
端口详细信息扫描

1. nmap -sS -n -Pn -p 22,80,81,1 -sV -sC -O 10.1.1.130 -oA nmap_output/detail

复制代码

1. 1        指定一个处于关闭状态下的端口。如端口：1，在判断操作系统的时候，需要用开放的端口和关闭的端口进行比对 -p        指定端口 -sV        服务版本探测 -sC        使用nmap默认脚本扫描 -O        对操作系统进行识别探测

复制代码

UDP端口扫描

1. nmap -sU --top-ports 100 10.1.1.130 -oA nmap_output/udp

复制代码

漏洞脚本扫描

1. nmap --script=vuln -p22,80,81 10.1.1.130 -oA nmap_output/vuln

复制代码

信息总结

1. OS:Linux 4.15 - 5.19 TCP端口开放: 22                OpenSSH 8.4p1 Debian 5 (protocol 2.0) 80                Apache httpd 2.4.51 ((Debian)) 81                nginx 1.18.0        401 Authorization Required UDP端口开放:目前无实际利用价值 常见漏洞信息：无 80端口web服务有robots.txt文件 /robots.txt

复制代码

WEB

浏览器查看

1. http://10.1.1.130:80

复制代码

有一行提示，大致意思是已经锁定了SSH用户，所以推断目标虽然开放了22端口，可能不允许进行远程SSH登录，突破口的策略将其放置到最后
查看网页源代码，并保存唯一的照片

图片隐写

查看图片隐写，无内容
robots.txt

没有利用价值
目录爆破

1. gobuster dir -u http://10.1.1.130 -a "Mozilla/5.0 (X11; Linux x86_64; rv:140.0) Gecko/20100101 Firefox/140.0" -w /usr/share/dirbuster/wordlists/directory-list-2.3-medium.txt

复制代码

观察了浏览器插件wappalyzer

并没有发现web端的技术栈是什么，所以穷举一下，完善gobuster扫描，指定常见的文件后缀名

1. gobuster dir -u http://10.1.1.130 -a "Mozilla/5.0 (X11; Linux x86_64; rv:140.0) Gecko/20100101 Firefox/140.0" -x php,jsp,asp,txt -w /usr/share/dirbuster/wordlists/directory-list-2.3-medium.txt

复制代码

发现graffiti.txt和graffiti.php                graffiti 涂鸦
浏览器访问这2个文件

提交数据抓包

发现提交数字1，保存在graffiti.txt文件中

任意文件写入

修改一下参数，是否能操作graffiti.php文件

后端源代码泄漏

返回包直接泄漏了graffiti.php后端源代码

1. [size=6]  Nebuchadnezzar Graffiti Wall   [/size]
4. [size=6]
6. Nebuchadnezzar Graffiti Wall
9. [/size]
17. Enter message:  
21. Message
23. Post
25. 1
28. Enter message:  
29.   Message  Post   

复制代码

回去访问graffiti.php文件，发现提交的message参数值也同步显示了

那么直接在graffiti.php写入一句话木马

复制代码

验证一下是否解析

成功执行php代码
执行系统命令

反弹shell

kali自带php反弹shell脚本文件
/usr/share/webshells/php/php-reverse-shell.php
[code]