Vulnhub靶机介绍:
vulnhub是个提供各种漏洞平台的综合靶场,可供下载多种虚拟机进行下载,本地VM打开即可,像做游戏一样去完成渗透测试、提权、漏洞利用、代码审计等等有趣的实战。
从靶机DC-3开始,只有一个最终的flag,只有拿到root权限才可以发现最终的flag。
Vulnhub靶机下载:
靶机IP地址:192.168.84.134
kali ip地址:192.1111168.84.129
官网地址:http://www.five86.com/downloads/DC-3-2.zip
- 主机发现
arp-scan -l
2.端口扫描
nmap -sV -p- 192.168.84.134
3.网页信息探测
whatweb -v 192.168.84.134
发现该网站的CMS使用的是joomla,这个框架很成熟,是php非常常见的CMS框架,看到这儿,第一想法是看一下它的版本号,然后搜索一下是否存在漏洞,而且kali上还存在一个专门针对它的漏洞扫描工具Joomscan。我们抱着试试的心态扫一下,看看有什么发现。
joomscan --url http://192.168.84.134
扫描出来joomla的版本和一些目录
http://192.168.1.73/administrator/ 是一个登录页面
使用searchsploit看一下joomla 3.7.0有没有漏洞,有一个可以利用的漏洞
查看42033.txt
使用sqlmap跑一下,存在SQL注入漏洞,可以通过布尔盲注,报错注入和时间盲注进行注入
破解出存在5个数据库,我们选择可能性最大的joomladb,继续爆破数据表
查看#__users表里面的内容
查询username、password字段里面的内容
发现password中的数值并不是明文 而是被加密了 显然这是哈希密码 可以通过kali工具john进行爆破解密
在桌面创建一个文件 将hash密码粘贴进去并保存
使用john爆破 命令如下
密码为snoopy
使用得到的账号密码进行登录后台
反弹shell
在Templates: Customise (Beez3)模块中找到了文件上传点可以用一句话木马进行上传 也可用反弹shell这里采用反弹shell(代码放在最后)点击new file 创建一个名为web.php的文件创建成功后 写入反弹shell代码 并修改其中接收的ip地址(kali地址)以及端口点击save保存 就上传成功了joomla框架下 模块会单独放在一个文件夹里/templates/,而beez3模块就在/templates/beez3/里面,刚才创建的webshell路径为
http://192.168.20.140/templates/beez3/web.php
贷款kali监听8888端口
浏览器访问shell地址
成功反弹shell
交互式shell
利用python获取交互式shell python -c 'import pty;pty.spawn("/bin/bash")'
并不是root权限 所以要进行提权
拿到shell之后获得了一定权限 就要进行信息收集 查看是否有遗漏的信息,linux系统下要尤其注意 /etc/passwd 和/etc/crontab两个文件 前者用来存储用户名 后者用来存储定时任务 有时候都是解题的关键
查看/etc/passwd
暂无可用信息 开始尝试提权
经过尝试发现 这里没法用SUID和git进行提权 于是利用系统漏洞进行提权
cat /etc/issue (查看操作系统版本信息)
确定了版本信息之后 直接上searchsploit
找到4.4.x的漏洞 后面对应Privilege Escalation(提权)查看漏洞路径
复制到桌面
打开文件
列出了漏洞产生的原因以及描述和漏洞利用的方法
最后一行附上了exp的链接
文件很长,其中看到这里,这里告诉我们破解的工具都保存在exploit.rar里了,并且给了下载链接,我们将其下载(在刚刚反弹过来的shell里)
然后解压 unzip 39772.zip
解开了exploit.tar文件可以看到有很多的脚本,接着进行如下操作。
编译成功,接着提权