1.本題是滲透測(cè)試入門(mén)的一道基礎(chǔ)題，雖然美其名曰“真的很簡(jiǎn)單”，但對(duì)于新手還是有一定挑戰(zhàn)性的，實(shí)踐并掌握本題中的所有知識(shí)點(diǎn)，對(duì)滲透測(cè)試的基本理解有很大幫助。

此題的目標(biāo)是對(duì)一個(gè)基于織夢(mèng) CMS 的網(wǎng)站進(jìn)行滲透測(cè)試，找到網(wǎng)站登錄后臺(tái)，繼而入侵服務(wù)器找到存放 flag 的文件。從實(shí)驗(yàn)手冊(cè)上，可看出其中還會(huì)涉及到簡(jiǎn)單的提權(quán)過(guò)程。

題目鏈接：https://xintu.ichunqiu.com/battalion?t=2&r=54399

解題鏈接：https://xintu.ichunqiu.com/vm/51123/1

本次實(shí)驗(yàn)要求獲取目標(biāo)網(wǎng)站的FLAG信息。

2.網(wǎng)站管理員的密碼是多少？第 1 題相對(duì)簡(jiǎn)單，在實(shí)驗(yàn)環(huán)境內(nèi)根據(jù)提示打開(kāi)下載鏈接 http://file.ichunqiu.com/49ba59ab，接著下載爆破工具 dedecms.exe：

打開(kāi)工具，輸入目標(biāo) URL，一鍵爆破得到管理員的賬號(hào) ichunqiu 與密碼哈希值 adab29e084ff095ce3eb：

對(duì)md5加密的密碼進(jìn)行解密

成功得到明文

3.網(wǎng)站后臺(tái)目錄名是什么？第 2 題上來(lái)先嘗試織夢(mèng) CMS 的默認(rèn)后臺(tái)路徑 /dede/index.php 或 /dede/login.php，得到 404 的結(jié)果也是意料之中，即現(xiàn)在的問(wèn)題是要找出修改后的后臺(tái)目錄名。打開(kāi)實(shí)驗(yàn)工具箱，發(fā)現(xiàn)【目錄掃描】文件夾，以【御劍后臺(tái)掃描工具】為例，對(duì)目標(biāo) URL 掃描后得到如下結(jié)果：

并未發(fā)現(xiàn)后臺(tái)地址注意，為了保證掃描效率，一般后臺(tái)掃描工具都是采用字典掃描，而不是暴力窮舉，因此不同掃描器得到的結(jié)果不完全相同，盡可能使用多種掃描器，偏僻怪異的名字可能掃描不出來(lái)。筆者采用了多種掃描器，并對(duì)其可能的結(jié)果進(jìn)行驗(yàn)證，都一無(wú)所獲，即可判斷此后臺(tái)目錄名具有較強(qiáng)的個(gè)性或隨機(jī)性。所以要轉(zhuǎn)換思路，看看織夢(mèng) CMS 是否存在后臺(tái)地址信息泄露的漏洞。果不其然，發(fā)現(xiàn)從報(bào)錯(cuò)文件 /data/mysql_error_trace.inc 或 /data/mysqli_error_trace.inc 中，可得到泄露的后臺(tái)路徑。最后在 /data/mysqli_error_trace.inc 中獲得后臺(tái)目錄名為 lichunqiul：

對(duì)其進(jìn)行驗(yàn)證，終于看到了后臺(tái)登錄頁(yè)面：

4.管理員桌面中 flag 文件信息是？用賬號(hào) ichunqiu 與密碼 only_system 登錄后臺(tái)后，根據(jù)實(shí)驗(yàn)手冊(cè)，要想辦法利用中國(guó)菜刀連接服務(wù)器，獲得 webshell，進(jìn)而查看 flag 文件中的信息。獲取 webshell首先我們需要在服務(wù)器插入一句話木馬，然后才能用菜刀連接，獲得 webshell。直接修改模板 PHP 源碼依次點(diǎn)擊 模板 -> 標(biāo)簽源碼管理，以編輯第一個(gè)模板 adminname.lib.php 為例：

在模板中寫(xiě)入一句話

使用中國(guó)菜刀連接

成功拿到shell

先切換至管理員桌面

可以看到存在一個(gè)flag文件，使用type命令嘗試看下

發(fā)現(xiàn)提示沒(méi)有權(quán)限用 cacls 命令查看 flag 文件的訪問(wèn)控制列表（ACL），后用 whoami 命令查看用戶(hù)名，發(fā)現(xiàn) authority\system 用戶(hù)對(duì)于 flag 文件的權(quán)限是 N，即無(wú)權(quán)限

使用whoami發(fā)現(xiàn)我們的權(quán)限是system，這是最高權(quán)限啊，用 cacls 命令更改了訪問(wèn)權(quán)限后，authority\system 用戶(hù)對(duì)于 flag 文件的權(quán)限變成了 F

成功拿到flag