OSCP - Proving Grounds - DC-9

主要知识点

• sql注入
• 文件包含
• sudo提权

具体步骤

总体来讲，这个靶机器比较难，步骤繁琐,首先nmap开始,22端口filter掉了，80端口开放

Nmap scan report for 192.168.177.209
Host is up (0.45s latency).
Not shown: 65533 closed tcp ports (reset)
PORT   STATE    SERVICE VERSION
22/tcp filtered ssh
80/tcp open     http    Apache httpd 2.4.38 ((Debian))
|_http-server-header: Apache/2.4.38 (Debian)
| http-methods: 
|_  Supported Methods: GET HEAD POST OPTIONS
|_http-title: Example.com - Staff Details - Welcome

我们用burpsuite打开看一下,在search页面发现了sql注入漏洞，原本只能搜索出一条记录，但是现在可以得到所有记录

在这里我尝试了利用union去写入PHP 文件，但是失败，所以只能做如下尝试(其实用sqlmap会方便很多，手动做太麻烦了），这里参考了如下linkhttps://dev.mysql.com/doc/refman/8.4/en/information-schema.html

https://dev.mysql.com/doc/refman/8.4/en/information-schema-columns-table.html

https://dev.mysql.com/doc/refman/8.4/en/information-schema-st-geometry-columns-table.html

首先得到数据库表结构，Staff和users schema下都存在用户相关的表，Staff.Users和users.UserDetails

接下来我们尝试爆破一下column，发现Staff.Users和users.UserDetails都存在password 列

按照类似的方法改变表名与列名，首先得到了admin:856f5de590ef37314e7c3bdf6f8a6