当前位置：首页 > news >正文

vulnyx loweb writeup

news 来源：原创 2025/6/4 22:25:53

信息收集

arp-scan

nmap

这里也可以接其它选项进行深入的扫描，因为我是打完后再写的wp，第一次做的时候我是扫了的，但是我没有得到什么有用的信息，所以写wp的时候我就没放出来了。这里直接去web

获取userFlag

一个默认的apache2 debian的web页面，接下来dirsearch扫一下吧

进这个library后继续用dirsearch扫

发现有用的东西了，访问admin

来到了一个登录页面，那首先测试一下是否存在sql注入，当我在用户名一栏输入 admin' 时页面会变成：

而输入其它的都显示认证失败，那说明这里应该存在一个以单引号包裹的字符型sql注入，我们先直接尝试万能密码登录，用户名那里输入：admin' or 1 -- q

直接就登录上来了，然后就翻翻这个网站吧

然后点到这里的时候会发现url变成了：

那这里我首先就觉得是一个文件包含，然后测试了一下，发现可以读到/etc/passwd

之后我想通过日志文件包含的方式写入webshell的，但是我发现这里居然没有读到日志文件，后来又尝试了一下 data:// 和 php://input 都不行，但是php://filter可以，所以先用它读一下index.php的源码吧，伪协议这里这样写：

php://filter/read=convert.base64-encode/resource=index.php

然后解码后发现后端就是一个include，也没有什么过滤，那之前失败，只能说明这个机器里确实没有日志文件，以及它不允许远程文件包含。也就是说，目前web上只有一个文件包含点，且伪协议这里只有php://filter可用。第一次做到这我是没有办法了，因为那个普通用户的家目录不可读，所以想要拿到userflag我们必须得先拿到webshell即我们必须能RCE，后来查了一下后发现只是使用php://filter也是能够RCE的，具体的原理如果感兴趣的话各位可以自己去查。

想要RCE我们需要用到一个工具：php_filter_chain_generator

基本使用方式：

python3 php_filter_chain_generator.py --chain '一句话木马'

然后把生成的php://filter传进去后就可以RCE了

然后就可以直接通过busybox调用nc反弹个shell回来了，拿到shell先通过以下命令稳定shell：

# 在反弹 shell 中执行
script /dev/null -c bash
# 按 Ctrl+Z 暂停
# 在 Kali 终端执行
stty raw -echo; fg
# 按 Enter 恢复，然后继续在反弹 shell 中执行
reset xterm
export TERM=xterm
export SHELL=/bin/bash
stty rows 40 columns 178 # 可选，调整大小

拿到www-data shell后可以在/opt目录里看到一个monitor.sh文件，cat一下就可以获得 r3dh4ck 用户的密码