Upload-labs通关指南(上) 1-10
文件上传漏洞
一些网站存在文件上传接口，一旦存在这个接口就有可能存在漏洞。
文件上传漏洞的逻辑是将一个webshell上传到服务器，服务器对它进行本地化存储并解析。
那么我们只要获知上传文件的路径就可以对整个网站甚至是服务器进行控制。
本次实验使用的靶场环境是Upload labs, github项目地址
环境：php 5.2.17
Pass-1
我们直接上传一个phpinfo测试一下，发现立刻就显示如下信息
1 | 该文件不允许上传，请上传.jpg|.png|.gif类型的文件,当前文件类型为：.php |
怀疑是js拦截。将js禁用后成功上传
Pass-2
仍然上传一个.php的webshell提示文件类型不正确，使用burp抓包并修改文件类型
1 | -application/octet-stream |
Pass-3
waf拦截提示
1 | 不允许上传.asp,.aspx,.php,.jsp后缀文件！ |
抓包尝试修改后缀为php3,php4,php5,pht,phtm,phtml绕过
Pass-4
测试后发现仅提示此文件不允许上传,并且修改后缀、修改文件类型均无效
上传.htaccess文件并写入如下内容
1 | <FilesMatch "haha"> |
然后在上传一个带有”haha”字样的任意后缀的webshell即可
.htaccess文件是php的解析文件，根据文件写的规则，会把相应的东西当作php来执行
此题中所有文件名中包含“haha”字样(后缀)的文件都当作php来执行
Pass-5
本题旨在让我们使用文件包含配合文件上传进行一个配合攻击
原理图如下：
因此我们可以抓包并修改后缀为jpg,利用文件包含将其以php执行
1 | http://localhost/include.php?file=./upload/haha.jpg |
Pass-6
由于此靶场是搭建与windows上，而windows对于后缀大小写不敏感，linux对大小写敏感
可以直接抓包修改后驻为phP绕过
Pass-7
此题提示为“禁止上传所有可解析的后缀”，又根据windows特性，后缀后的空格不解析，因此直接抓包修改后缀加空格绕过。
Pass-8
后缀加.绕过
Pass-9
::$DATA是windows的NTFS文件系统中的默认属性
上传xxx.php::$DATA
意思是让windows请求自己
Pass-10
可以使用burp抓包，第一次上传文件名xxx.php:.jpg
此时会生成一个空的xxx.php文件
第二次上传文件名xxx.>>>
此时会在空文件中写入你的代码
本博客所有文章除特别声明外，均采用 CC BY-NC-SA 4.0 许可协议。转载请注明来源 天问非攻！
USDT-TRX
相关推荐
2021-09-25
Billu_b0x内网渗透-vulnhub
本次来试玩一下vulnhub上的Billu_b0x，只有一个flag，下载地址。 下载下来后是 .ova 格式，建议使用vitualbox进行搭建，vmware可能存在兼容性问题。靶场推荐使用NAT(共享)模式，桥接模式可能会造成目标过多不易识别。 IPBillu_b0x：192.168.31.190Kali: 192.168.31.17Win7: 192.168.31.168 信息搜集端口扫描发现开放了80和22端口 1nmap -sV -A -p- 192.168.31.190 御剑扫描发现有add.php c in phpmy test.php panel.php等首页是一个登录窗口，并且提示我们“展现我们sqllabs技巧的时候到了”，明显是sql注入。add.php似乎是一个文件上传，in是phpinfo，phpmy是数据库phpmyadmin的后台管理，test.php似乎是一个file传参的文件包含，panel.php重定向到首页。 渗透过程常规的还是首页sql注入尝试一下。但手注注不出来，不管什么错误都是报try...
2021-09-29
Billu_b0x2内网渗透(多种提权方法)靶场-vulnhub
本次来试玩一下vulnhub上的Billu_b0x2，下载地址。下载下来后是 .ova 格式，建议使用vitualbox进行搭建，vmware可能存在兼容性问题。靶场推荐使用NAT(共享)模式，桥接模式可能会造成目标过多不易识别。 IPwin7: 192.168.31.44kali: 192.168.31.17靶机: 192.168.31.132 信息搜集主机发现得到靶机ip，接着进行端口扫描 1nmap -sV -A -p- 192.168.31.132 开放了22, 80, 111, 8080, 55532端口80端口还扫出了部分目录。 网页登上去看一眼出了一个搜索框和login其他没有什么要素了。接着御剑扫一下，扫出了80端口下的robots.txt，根据其中的提示进行文件遍历，web.config并没有有用的信息，最终在README.txt中找到/core/install.php，告诉我们具体的CMS版本号是Drupal 8.3.58080端口有一个/manager的401登录 渗透过程由于看到了login,...
2021-09-17
渗透靶场CH4INRULZ_v1.0.1
靶机环境下载地址：(https://www.vulnhub.com/entry/ch4inrulz-101,247/) 好久没有来做内网渗透了，碰巧遇到一个新鲜点的靶场，就来试一下。ova下载下来后直接导入virtualbox即可kali：192.168.0.100靶机: 192.168.0.101先扫一下端口 1nmap -sS -A -p- 192.168.0.101 开启了ftp，ssh，http服务，打开他的网址上去一看，是一个未完成的个人博客。在他的网站上并没有找到什么线索，url也没有什么奇特的地方，御剑或dirsearch扫一下目录。发现一个需要登录的子页面development和index.html.bak网页备份文件(御剑)。查看首页备份文件发现里面竟然有一串hash，破解一下保存到res.log 1john pass.txt > res.log 如果res.log中不显示结果，加上--show参数即可 得到密码– frank!!!这个密码正好可以登录development中的东西，(frank,...
2021-08-25
Vulnhub内网渗透DC-2靶场通关
DC系列共9个靶场，本次来试玩一下DC-2，共有5个flag，下载地址。 下载下来后是 .ova 格式，建议使用vitualbox进行搭建，vmware可能存在兼容性问题。靶场推荐使用NAT(共享)模式，桥接模式可能会造成目标过多不易识别。传统艺能，kali扫一扫，发现目标ip：192.168.31.198 1arp-scan -l nmap扫一把 1nmap -sV -A -p- 192.168.31.198 发现开放了80(http)和7744(ssh)两个端口访问80端口看一下他的网页情况访问后发现跳转至dc-2，且不显示内容，因此尝试修改hosts文件（win和kali都需要），最后一行添加如下字段： 1192.168.31.198 dc-2 然后直接访问dc-2就能打开网页了，发现是wordpress的CMS，并且在首页就能找到flag1flag1提示我们常用的密码字典或许无法破解，让我们使用cewl，登陆其中一个账户就可以找到下一个flag。 cewl利用爬虫技术对网站作者的写作习惯进行分析并得出可能的密码字典 1cewl dc-2 >...
2021-08-12
Vulnhub内网渗透DC-1靶场通关
DC系列共9个靶场，本次来试玩一下DC-1，共有5个flag，下载地址。 下载下来后是 .ova 格式，建议使用vitualbox进行搭建，vmware可能存在兼容性问题。靶场推荐使用NAT(共享)模式，桥接模式可能会造成目标过多不易识别。 首先在kali中扫一下目标ip 1arp-scan -l 通过排除，发现目标ip为：192.168.0.119经典套路，nmap扫一把 1nmap -sS -sV 192.168.0.119 发现目标开启80和22端口我们先看一下他的网页长啥样是一个典型的drupal的CMS立刻想到直接msf中search一下他的漏洞 12msfconsolesearch drupal 使用18年的那个试一下shell进入命令行，python修饰一下shell，whoami发现自己已经进来了，是www-data用户 1python -c 'import...
2021-09-23
Vulnhub内网渗透DC-3靶场通关
DC系列共9个靶场，本次来试玩一下DC-3，只有一个flag，下载地址。 下载下来后是 .ova 格式，建议使用vitualbox进行搭建，vmware可能存在兼容性问题。靶场推荐使用NAT(共享)模式，桥接模式可能会造成目标过多不易识别。 IPkali : 192.168.31.17win7 : 192.168.31.168dc-3 : 192.168.31.241 渗透传统艺能端口扫描 1nmap -sV -A -p- 192.168.31.241 cmd为joomla的，且只开放了80端口，使用joomscan 再扫一下发现了具体版本为 3.7.0，发现后台地址为/administrator。再使用御剑扫描一下没有发现更多有用的信息。因为开放了80端口登上去看一下作者告诉我们只有一个入口可以进入后台，只有一个flag，需要root权限才可以读取。再看一下后台登录，尝试弱密码登录失败，（burp爆破应该是可以的）。但因为是joomla的CMS而且版本为3.7，我们尝试搜索一下他的漏洞。 1searchexploit joomla...
评论
