webug靶场渗透基础攻略

安装

下载解压后，打开虚拟机

修改网络为桥接模式

虚拟机cmd中输入ipconfig查看局域网ip地址

我这边是192.168.0.101
浏览器访问一下

没毛病，第一步完成了，现在开始练习

---

第一关

这题目…一开始我就没明白要干什么
看了二三关的题目后，才明白过来是要找出id为1的值的flag
接下来我们使用sqlmap
查询当前的数据库名

sqlmap -u "http://192.168.0.101/pentest/test/sqli/sqltamp.php?gid=1" --current-db

查表

sqlmap -u "http://192.168.0.101/pentest/test/sqli/sqltamp.php?gid=1" -D pentesterlab --tables

查字段

sqlmap -u "http://192.168.0.101/pentest/test/sqli/sqltamp.php?gid=1" -D pentesterlab -T flag --columns

现在就可以查flag值了

sqlmap -u "http://192.168.0.101/pentest/test/sqli/sqltamp.php?gid=1" -D pentesterlab -T flag -C flag,id --dump

答案就出来了，但是不用将这个值提交，因为看了源代码后发现提交页面并没有校验flag的功能，估计还没开发好

---

第二关

下载图片，用notepad打开一下

有个txt文件，解压后打开看看

貌似没更多信息
把’123’填入提交后，发现错了，再试’密码123’，‘123txt’都是错的，无奈下又看了下源代码，发现答案是’flang{fa136c7c341a6e26}’。中括号里面估计是md5值，那把fa136c7c341a6e26进行一下MD5解密，结果是‘chinayuanyaun’，然而，这又是个啥？不知道怎么得来的。本关题目是妹子的照片，出来一条狗的照片，答案又和chinayuanyaun有关，谁能解释一下…

---

第三关

第三关说“渗透网站的时候目录也很重要”，那我们扫描一下这个目录

扫出来一个http://192.168.0.101/pentest/test/san/test/目录
打开看看

那就把test加密一下，得到链接
http://192.168.0.101/pentest/test/san/4621d373cade4e83/
打开

答案就是：/flag{人人都知道站长是个大帅比}/
但是填入后提交会发现404错误，查看源代码后发现是因为…写代码的人把验证flag的diskshuaibi.php文件的路径给写错了

这里应该要把 …/key/level3/diskshuaibi.php 改为 …/…/…/key/level3/diskshuaibi.php
修改代码后重新提交

错误？？？怎么可能，去diskshuaibi.php里面看看答案是什么

flang{人人都知道站长是个大帅比}
。。。。。
不用怀疑了，又是这个靶场的一个小bug

---

第四关

本关的提示：告诉你了flang是5位数；当遇到五位验证码的时候可以爆破
即使没看到登录界面有验证码，但是就是告诉你要爆破了，那就用burp的intruder来爆破

上面可以很明白的看出，用户名是admin，密码是admin123
填入点击登录

？？？除了一个login success，怎么其他什么也没有啊
没法子，查看一下源代码

我擦嘞，flag的值居然被注释掉了，怪不得不显示啊，真是坑，把这串数字去md5解密一下看看

这。。。。说好的flang是5位数呢？

---

第五关

这关提示说是头部注入
我们先burp抓包看看

既然是头部注入，那我们就在request head里面都加一个单引号看看

点击Forward

嗯…没反应，这时候我们就该考虑XFF注入了
重新抓包，在head里面添加一行：X-Forwaded-For:’

点击Forward

存在注入
创建一个2.txt文件，填入下面内容

开始使用sqlmap进行注入

sqlmap -r 2.txt --dbs

接下来的步骤就和第一关一样了，不再赘述

---

第六关

没有用户名密码，先用弱密码爆破之
未成功
尝试用sqlmap注入
未成功
后来才知道，原来第六关的账号密码在第七关的题目里
。。。。。。。。。。
本关提示是：支付问题：用最少的钱去购买到一本书
那就肯定是提交支付的时候后端没有去校验余额导致的，所以还是burp抓包改包

把购买数量修改为1000后提交

把 bill1=10&bill2=20&num1=1000&num2=1000&uid=1 这行改成 bill1=0&bill2=0&num1=1000&num2=1000&uid=1 后点击Forward

成功

---

第七关

用tom和123456登录看看

里面只有一个更改密码的按钮，结合本关的题目是越权，我们可以想到，这是让tom这个普通用户，可以越权修改其他账号的密码
点击更改密码，修改密码后抓包看看

修改密码的操作居然不带cookie的，这说明任何人都有机会去尝试修改其他人的密码，那我们先看看修改密码的时候，后台有没有去校验旧密码是否正确，将password1=123456改为password1=111111

可以修改，说明后端即没有校验修改密码者的身份，也没有校验旧密码，存在越权漏洞

---

第八关

本关提示是csrf
注意，要是第七关修改了密码，那这关要用改后的密码来登录


修改密码，burp抓包

和上关一样的套路，但是这关是要求用csrf攻击的，因为修改密码的操作中没有一个随机的token参数，而且本关题目告诉你管理员会在10点的时候上线，所以10点的时候他会具有当前会话cookie
利用burp生成一个csrf的文件，上传到服务器，发给管理员，诱使其点击后既可修改密码

但是burp的这个csrf文件太显眼了，最好自己修改一下

---

第九关

题目是：URL跳转，能不能从我到百度那边去？
这题…得看看源代码了…

原来这题不需要登录，只需要在链接上多添加一个名为url的参数就可以了，但是没看源代码的话，谁会知道…而且也不明白这道题的考点在哪

---

第十关

本关提示为：文件下载，根据提示下载需要的文件

要是我没猜错，又是作者源代码里面出问题了
找了一下文件夹，发现本关的路径应该是/pentest/test/6/1/download.php

标题上还写着 帮管理员找回mysql帐号密码
点击下载看看

看url地址后会明白，后台程序应该会是取出fname参数的值，然后根据这个值在C:/phpStudy/WWW/topsec/any_file_download_V1.2/data/ 这个文件夹下面查找文件
这种下载文件的方式就很危险了，因为要是我们把fname参数的值改为index.php，apache就不会将php传递给php去解析，而是直接变成下载了。
我们扫描一下http://192.168.0.101/pentest/test/6/1/这个目录

扫出了一个叫db的目录
继续往下扫

扫到了config.php这个配置文件，我们不能直接下载这个文件，而是要使用上面那个frame参数
现在开始构造参数下载文件

http://192.168.0.101/pentest/test/6/1/download.php?fname=../../../pentest/test/6/1/db/config.php

mysql的账号密码都出来了

---

第十一关

本关提示是：我和上一题有点像，看看你怎么获取喽
还是一样，要找到mysql的账号和密码

嗯，学精了，不是上面那关
那抓包看看

哟，改为post传输参数了，那我们根据上一关的逻辑，把dog_cat.jpg改为…/…/…/pentest/test/7/1/db/config.php试试

嗯…就是把参数提交方式从get变成post，其它都一样

---

第十二关

本关提示：我系统密码忘记了！请帮我找回在D盘下。登录框post_注入和万能密码

---

未完待续