『VulnHub系列』serial: 2-Walkthrough

本文详细记录了作者对VulnHub靶机serial 2的渗透测试过程，涉及信息收集、apk逆向、SSH提权等多个环节。作者首先通过信息收集发现靶机使用了Webmin，接着分析apk，尝试使用jd-gui反编译，然后通过反弹shell获取初步权限。在提权过程中，作者遇到诸多挑战，如docker容器逃逸、git日志分析、SSH登录问题等，最终通过分析二进制文件backd00r实现root权限的获取。过程中涉及的技术包括d2j-dex2jar、jd-gui、GDB、ROP等。

靶机地址
难度：中等++
靶机发布日期：2019年9月27日

在这里插入图片描述
靶机描述：This box has an intermediate difficulty for the user, I suggest you to enumerate it and use some tools for get the first flag. Note that if you don’t see the flag maybe you should find it in other place 😉.

The hard part is the privilege escalation for the root user, try hard and get the root flag (if you can;))!

If you need an hint, feel free to contact me on Twitter: @sk4pwn

You may have issues using VMware

博客中如有任何问题，恳请批评指正，万分感谢。个人邮箱：want2live233@gmail.com

工具、知识点和漏洞

netdiscover
nmap
dirsearch
dirb
gobuster
jadx
git
searchsploit
metaspaloit
burpsuite
Postman

存疑、待解决

关于逆向的问题不是一点儿半点儿～

0x00、信息收集

靶机IP：192.168.0.110

netdiscover -r 192.168.0.0/24

在这里插入图片描述
端口和服务

nmap -sS -sV -T4 -A -p- 192.168.0.110

在这里插入图片描述

页面、目录枚举

dirb http://192.168.0.110 -X .php,.txt,.zip,.html

在这里插入图片描述

python3 dirsearch.py -u http://192.168.0.110 -e .php,.txt,.zip,.html

在这里插入图片描述
http://192.168.0.110/

在这里插入图片描述
这一上来就是apk逆向吗？我惊了……嗯～先放一放，先看看别的

首页展示的一些信息：

New mobile application for network monitoring with a strong basic authentication! Download and try it!
具有强大的基本身份验证功能的新型移动应用程序，用于网络监控！下载并尝试！

See the ip address of your machine with /api/ip

See the content of arp table with a simply call to /api/arp

Try our new feature for scan an address with /api/nmap! (This is a beta version!)

http://192.168.0.110/api

在这里插入图片描述
http://192.168.0.110/LICENSE

下载到一个文件，打开发现是一些许可信息，搜索了一下Blackrock Digital LLC，发现Github上有相关信息，https://github.com/BlackrockDigital，看样子是作者用了他们的东西，没啥用

搜索“express middleware”，得知如下信息：

Express 是一个路由和中间件 Web 框架，其自身只具有最低程度的功能：Express 应用程序基本上是一系列中间件函数调用。
中间件函数能够访问请求对象 (req)、响应对象 (res) 以及应用程序的请求/响应循环中的下一个中间件函数。下一个中间件函数通常由名为 next 的变量来表示。
中间件函数可以执行以下任务：
1)执行任何代码。
2)对请求和响应对象进行更改。
3)结束请求/响应循环。
4)调用堆栈中的下一个中间件函数。
如果当前中间件函数没有结束请求/响应循环，那么它必须调用 next()，以将控制权传递给下一个中间件函数。否则，请求将保持挂起状态。

搜索“snet-sensor-mgmt 10000 exploit”
找到https://github.com/Popsiclestick/write-ups/blob/master/NCL-2014/Exploit%202.md，从里面的内容来推断，靶机应该使用了Webmin，随后访问http://192.168.0.110/unauthenticated

在这里插入图片描述
http://192.168.0.108/gulpfile.js