vulnhub之CH4INRULZ渗透测试实战
一、环境搭建
目标: 获取root权限,并获得flag
难度:中级
下载链接:https://download.vulnhub.com/ch4inrulz/CH4INRULZ_v1.0.1.ova
测试环境:VMware
攻击机:kali linux 2019 IP地址为192.168.34.179
二、渗透实战过程
1.发现主机
老生常谈,第一步当然是要发现目标IP了,通过nmap -sP 192.168.34.0/24
扫描本网段的IP,然后进行排除,最后确定IP地址为192.168.34.158
对目标IP进行端口扫描,nmap -sV 192.168.34.158
存在21端口vsftp服务,可惜版本是2.3.5,然后就放弃了
存在两个网站端口,访问一下看有什么信息吧!
2.网站分析
在80端口就是一个个人网站页面,找了半天也没有什么发现,关键就在于8011端口的网站了
使用dirb进行目录扫描,发现可以目录api
对目标目录进行访问发现回显几个文件
依次对这些文件进行访问,只有files_api.php可以访问,访问到的页面提示需要添加file参数,应该存在文件包含漏洞,可以看见/etc/passwd,发现一个frank用户,先拿小本本记下来
使用伪协议查看一下files_api.php文件内容,源码中禁止以GET形式读etc/passwd文件,其他的文件也读不到了
80站点中的index.html是网站的主页,但网站还未开发完成,想必会有一个备份数据的文件,尝试访问下index.html.bak,发现可以下载了一个index.html.bak
在文件中发现他的用户名和密码frank:$apr1$1oIGDEDK$/aVFPluYt56UvslZMBDoC0
拿去john解
登录http:/192.168.34.158/development/
密码为frank!!!
3.上传文件获取web_shell
根据提示应该是让上传文件,上传目录就是http://192.168.34.158/development/uploader/
,开始上传PHP反弹shell
页面提示仅限于上传图片
结果白名单中JPG、JPEG、PNG都不可以,应该是检验文件头部信息,添加头部信息,只有用最后的GIF98法了
修改文件头部信息,并将文件名改为php后缀的,文件上传成功
虽然我们并不知道上文件的目录,但是我们可以用之前的文件包含读取一下upload.php的源码。幸运的是它就在php的常规目录下。对base64进行解码后我们知道了上传的目录为FRANKuploads
kali监听成功拿到shell
4.提权
接下来就是重头戏提权了
先看一下靶机的内核
searchsploit linux 2.6.3的内核,使用exploits/linux_x86-64/local/15023.c测试成功,并获取root权限。
打开了kali的网站,使用wget下载的,然后编译执行,最后获取root权限
gcc -pthread 15023.c -o dirty -lcrypt
./dirty
获取root权限,并查看到root.xt