伺服器滲透測試練習（part5 發掘漏洞（2））

上一次是通過註冊獲得的session，這次就看一下登入頁面有沒有什麼可以發掘的漏洞。開啟登入頁面，輸入上一次註冊時用的賬號密碼，點選登入，發現跳轉到了和昨天一樣的主頁面，我們登出，然後再登入一次，但是要先把burp suite開啟並設定瀏覽器的**，來看看能不能捕捉到登入請求。

發現捕捉到的是明文的賬號密碼，也就是說無法通過修改請求的方法來在不知道密碼明文的情況進行登入。

真的嗎？還需要進一步驗證，點選放包，頁面並沒有載入，回到burp suite，發現又捕捉到乙個請求。

誒，這裡是密碼的雜湊值，也就是說，在之前的那個頁面只是將密碼進行處理，驗證是另乙個網頁的工作。那麼，我們可不可以嘗試一下修改請求呢？

將請求的兩個引數分別改為之前看到的xml檔案中root的賬號和密碼，點選放包。

好的，我們拿到了**的管理權。

但是現實中可能沒有那麼簡單，有可能只能捕捉到明文，所以想要登入別人的賬號，還需要破解密碼（這裡需要將網頁更改一下，將logcheck.php上面的get_real_ip函式和下面的第乙個if語句（if(isset($_post["un"]) && isset($_post["pwd"]))）內部的內容分別複製到login.php的開頭和將資訊傳送到logcheck頁面（最後乙個echo）之前的位置，並將最後乙個echo刪掉，但是別忘了在使用完密碼爆破後將其復原）。burp suite有提供密碼爆破，但是速度要看情況，如果密碼強度大的話，有可能幾個月甚至幾年都無法爆破，但是其他的密碼破解軟體也差不多。

這裡我使用burp suite進行密碼爆破（當然你也可以用john the ripper之類的軟體進行爆破，但是為了方便，筆者沒有開啟過多軟體）。

登入頁面，賬號輸入root，密碼隨意輸乙個，提交，返回burp suite，點選行動->傳送到intruder，然後前往測試器選項卡，點選位置選項卡，型別設定為攻城錘（battering ram），然後點選下方的清除，手動框選pass=後面剛剛隨便輸入的部分，點選新增，轉到有效載荷選項卡，設定型別為蠻力（如果有密碼字典的可以使用字典）字符集預設，最短4，最長6（其實還應該更長，但是用的時間也會變得更長），點選開始攻擊。

耐心等待一段時間，然後檢視結果。一般正確的密碼和錯誤的密碼反饋結果的長度不同，所以點選長度選項，以此來進行排序（如果出現的結果是一樣的，那麼再點一下，因為長度也可能比其他的小，反正就是這個地方會不一樣）。

如圖，我們成功的找到了root賬號的密碼（但是現實中是不可能這麼簡單的，這是乙個很短的密碼，由小寫字母、大寫字母和陣列組成的乙個六位數密碼會耗費數天時間）。

之前提到了會有session這個東西，但是檢視瀏覽器會發現說**使用了0個cookie，那麼也就是說cookie是儲存在伺服器上的。還是用read頁面驗證一下吧。在經過多次嘗試後，我們知道了伺服器將cookie儲存在tmp子目錄下，檔名是session@+ip位址.txt。

這是我們剛剛使用抓包的方式登入root賬號時留下的，第一行暫時不知道是什麼，第二行是賬號名，第三行是許可權，第四行是ip位址。複製這些資訊，回到主頁面，點選登出，重新登入我們自己註冊的賬號，新建文件，檔名為..\tmp\session@你的ip位址，型別為txt，標題隨意，內容為我們剛剛複製的內容，點選提交。如果距離使用root賬號登入的時間不是很長，那麼你會發現主頁面的提示已經變成root賬號的提示了，如果時間較長了，那麼會有登入過期的提示，那麼我們可以猜測第一行的是登入時間（具體是什麼格式的時間還需要多次嘗試才能知道，但是這裡應該是unix時間戳）。如果因為登入過期被強行登出了，那麼就重新以自己的賬號登入，新建文件，檔名為time，型別為txt，標題隨意，內容為

<
script
>
vartime
=new
date();
varutime
=time.gettime();alert(utime)
script
>

然後在返回主頁面的時候就能看到提示（因為txt設定是有預覽的，從而執行了js**），如果點選鏈結進入read頁面，也會看到乙個提示框，裡面就是我們要的東西，複製，然後返回主頁面，新建文件，與上面的session檔案輸入一樣，但是把第一行改為剛剛複製的時間，提交儲存，返回主頁面，發現已經以主管身份登陸了。

伺服器滲透測試練習（part5 發掘漏洞（2））

滲透測試之伺服器解析漏洞

伺服器防滲透 1 資訊收集

Linux NFS 伺服器測試

伺服器滲透測試練習（part5 發掘漏洞（2））

滲透測試之伺服器解析漏洞

伺服器防滲透 1 資訊收集

Linux NFS 伺服器測試

相關推薦