【vulnhub靶场】Fristileaks靶机提权

#免责声明：
本文属于个人笔记，仅用于学习，禁止使用于任何违法行为，任何违法行为与本人无关。

Fristileaks靶机

靶机下载地址 https://download.vulnhub.com/fristileaks/FristiLeaks_1.3.ova

下载之后，本地解压，用VMware运行该虚拟机。

更改靶机硬件兼容性为16.x

设置靶机 Fristileaks 与攻击机网络环境，保证在同一局域网，方便都设置成net模式，更改靶机的mac地址：08：00：27：A5：A6：76

主机发现、端口扫描与扫描目录

更改靶机硬件兼容性为16.x

​

设置为net模式，更改靶机的mac地址：08：00：27：A5：A6：76

​

开启靶机，直接出来ip地址了，良心靶机

​

namp扫描，只开放了80端口

​

访问192.168.361.141，花里胡哨，嘛玩意都没有

​

扫目录扫目录

​

发现 images 访问瞅瞅

​

很好，调戏我

​

再看看 robots.txt 也没啥有用信息

​

再去观察index.html，大佬说这玩意不对劲

​

输入到url访问，很好，嘲笑我，尼™***********

​

F12瞅瞅，一大堆，一眼丁真base64编码

​

by eezeepz 可能是用户名

​

iVBORw0KGgoAAAANSUhEUgAAAW0AAABLCAIAAAA04UHqAAAAAXNSR0IArs4c6QAAAARnQU1BAACx jwv8YQUAAAAJcEhZcwAADsMAAA7DAcdvqGQAAARSSURBVHhe7dlRdtsgEIVhr8sL8nqymmwmi0kl S0iAQGY0Nb01//dWSQyTgdxz2t5+AcCHHAHgRY4A8CJHAHiRIwC8yBEAXuQIAC9yBIAXOQLAixw B4EWOAPAiRwB4kSMAvMgRAF7kC

扔到卡利自带的base64解码工具解码一波

​

行，是个png图片，好dog的图片密码，keKkeKKeKKeKkEkkEk

​

登录

​

​

发现文件上传点

文件上传拿shell

上传php文件试试

​

ok，告诉咱们只能上传图片格式文件

那就上传个1.php.jpg利用apache文件解析漏洞，试一试，上传成功

​

​

访问 /uploads/1.php.jpg 打开上传的文件，可以解析，那么更换木马，使用蚁剑连接

​

​

​

提权

进到home目录，ls瞅瞅，这俩都无法访问，只能进到eezeepz

​

进到eezeepz查看有哪些东西，都是写命令，最后发现notes.txt，打开瞅瞅

​

ok！看不懂，翻译！勉强提取出比较有用的点，/usr/bin/*，/home/admin，runthis，/tmp/

​

翻译的大致意思如下：

我使您能够执行一些自动检查，但是我只允许您访问/usr/bin/系统二进制文件。但是，我确实将一些经常需要的命令复制到我的home目录:chmod, df, cat, echo, ps, grep, egrep，以便您可以从/home/admin/使用这些命令不要忘记为每个二进制文件指定完整路径!只需在/tmp/中放入一个名为“runthis”的文件，每行一个命令。Thel输出到/tmp/目录下的"cronresult"文件。它应该每分钟用我的帐户权限运行一次。

应该是在tmp目录下创建runthis文件，以 /home/admin/开头或者/usr/bin/开头的命令就可以以admin的身份去执行加的命令，执行结果自动输出到cronresult文件

执行命令：

echo '/home/admin/chmod 777 /home/admin' > /tmp/runthis

​

cd /home/admin

ls -al 发现两个存放密文的txt文件、一个加密脚本和一个计划任务脚本

​

cat cryptedpass.txt 查看密文为 mVGZ3O3omkJLmy2pcuTq

cat whoisyourgodnow.txt 查看密文为 =RFn0AKnlMHMPIzpyuTI0ITG

cat cryptpass.py 查看加密脚本内容，根据加密内容编写解密脚本

​

import base64,codecs,sys
 
def decodeString(str):
    string = str[::-1]
    string = string.encode('rot13')
    return base64.b64decode(string)
 
print decodeString(sys.argv[1])

允许解密脚本得到两个明文，可能是其他两个用户的登录密码。

​

切换到fristigod用户

​

换到bash，重新登录

python -c "import pty;pty.spawn('/bin/bash')"

ok成功登录

​

sudo -l 查一下看看有没有可利用的 shell 转义序列提权

​

发现 fristi 用户在/var/fristigod/.secret_admin_stuff/doCom下可以执行任何root权限命令

cd /var/fristigod

ls -al

​

cat .bash_history 查看历史命令，可能存在其他人使用类型命令登录root用户嘛

​

 sudo -u fristi /var/fristigod/.secret_admin_stuff/doCom su -  

​

完结撒花，提权成功！

靶场相关文章：Hack the Fristileaks VM (CTF Challenge) - Hacking Articles