Kioptrix-4

最新推荐文章于 2024-08-01 08:23:29 发布

Y4y17

最新推荐文章于 2024-08-01 08:23:29 发布

阅读量632

点赞数 7

分类专栏： Vulnhub 文章标签：网络安全数据库安全学习 web安全

本文链接：https://blog.csdn.net/weixin_44770698/article/details/135238943

版权

Vulnhub 专栏收录该内容

62 篇文章 0 订阅

订阅专栏

靶机下载地址

https://download.vulnhub.com/kioptrix/Kioptrix4_vmware.rar

环境搭建

由于这个靶机下载下来之后是一个vmdx的文件，所以要经过处理，直接创建一个新的虚拟机：

选择其他；后面的一律“下一步”即可！

最后将硬盘移除！

使用现有的硬盘，加载下载下来的硬盘即可！内存也需要重新分配一下，之后打开即可：最终配置如下：

信息收集

# arp-scan -l
Interface: eth0, type: EN10MB, MAC: 00:0c:29:43:7c:b1, IPv4: 192.168.1.60
Starting arp-scan 1.10.0 with 256 hosts (https://github.com/royhills/arp-scan)
192.168.1.1     00:50:56:c0:00:08       VMware, Inc.
192.168.1.2     00:50:56:fe:b1:6f       VMware, Inc.
192.168.1.76    00:0c:29:85:3d:2d       VMware, Inc.
192.168.1.254   00:50:56:f0:ab:00       VMware, Inc.

探测存活主机信息，发现目标的靶机地址为192.168.1.76

# nmap -sT --min-rate 10000 -p- 192.168.1.76                   
Starting Nmap 7.94 ( https://nmap.org ) at 2023-12-26 14:09 CST
Nmap scan report for 192.168.1.76
Host is up (0.0034s latency).
Not shown: 39528 closed tcp ports (conn-refused), 26003 filtered tcp ports (no-response)
PORT    STATE SERVICE
22/tcp  open  ssh
80/tcp  open  http
139/tcp open  netbios-ssn
445/tcp open  microsoft-ds
MAC Address: 00:0C:29:85:3D:2D (VMware)

开放的端口信息为22 ssh 80端口是http 同时开启了139 445端口

# nmap -sT -sC -sV -O -p80,22,139,445 192.168.1.76 -oN details.nmap
Starting Nmap 7.94 ( https://nmap.org ) at 2023-12-26 14:10 CST
Nmap scan report for 192.168.1.76
Host is up (0.00027s latency).

PORT    STATE SERVICE     VERSION
22/tcp  open  ssh         OpenSSH 4.7p1 Debian 8ubuntu1.2 (protocol 2.0)
| ssh-hostkey: 
|   1024 9b:ad:4f:f2:1e:c5:f2:39:14:b9:d3:a0:0b:e8:41:71 (DSA)
|_  2048 85:40:c6:d5:41:26:05:34:ad:f8:6e:f2:a7:6b:4f:0e (RSA)
80/tcp  open  http        Apache httpd 2.2.8 ((Ubuntu) PHP/5.2.4-2ubuntu5.6 with Suhosin-Patch)
|_http-title: Site doesn't have a title (text/html).
|_http-server-header: Apache/2.2.8 (Ubuntu) PHP/5.2.4-2ubuntu5.6 with Suhosin-Patch
139/tcp open  netbios-ssn Samba smbd 3.X - 4.X (workgroup: WORKGROUP)
445/tcp open  �º`�U      Samba smbd 3.0.28a (workgroup: WORKGROUP)
MAC Address: 00:0C:29:85:3D:2D (VMware)
Warning: OSScan results may be unreliable because we could not find at least 1 open and 1 closed port
Device type: general purpose
Running: Linux 2.6.X
OS CPE: cpe:/o:linux:linux_kernel:2.6
OS details: Linux 2.6.9 - 2.6.33
Network Distance: 1 hop
Service Info: OS: Linux; CPE: cpe:/o:linux:linux_kernel

Host script results:
|_smb2-time: Protocol negotiation failed (SMB2)
|_nbstat: NetBIOS name: KIOPTRIX4, NetBIOS user: <unknown>, NetBIOS MAC: <unknown> (unknown)
| smb-security-mode: 
|   account_used: guest
|   authentication_level: user
|   challenge_response: supported
|_  message_signing: disabled (dangerous, but default)
| smb-os-discovery: 
|   OS: Unix (Samba 3.0.28a)
|   Computer name: Kioptrix4
|   NetBIOS computer name: 
|   Domain name: localdomain
|   FQDN: Kioptrix4.localdomain
|_  System time: 2023-12-26T09:10:41-05:00
|_clock-skew: mean: 10h30m01s, deviation: 3h32m08s, median: 8h00m00s

服务的详细信息探测结果：

OpenSSH 4.7p1 运行在vm上的主机 ubuntu系统
80端口 Apache httpd 2.2.8 PHP/5.2.4
139 445 samba

# nmap -sT --script=vuln -p80,22,139,445 192.168.1.76 -oN vuln.nmap  
Starting Nmap 7.94 ( https://nmap.org ) at 2023-12-26 14:10 CST
Pre-scan script results:
| broadcast-avahi-dos: 
|   Discovered hosts:
|     224.0.0.251
|   After NULL UDP avahi packet DoS (CVE-2011-1002).
|_  Hosts are all up (not vulnerable).
Nmap scan report for 192.168.1.76
Host is up (0.00027s latency).

PORT    STATE SERVICE
22/tcp  open  ssh
80/tcp  open  http
|_http-dombased-xss: Couldn't find any DOM based XSS.
|_http-trace: TRACE is enabled
|_http-vuln-cve2017-1001000: ERROR: Script execution failed (use -d to debug)
| http-csrf: 
| Spidering limited to: maxdepth=3; maxpagecount=20; withinhost=192.168.1.76
|   Found the following possible CSRF vulnerabilities: 
|     
|     Path: http://192.168.1.76:80/
|     Form id: myusername
|     Form action: checklogin.php
|     
|     Path: http://192.168.1.76:80/checklogin.php
|     Form id: 
|     Form action: index.php
|     
|     Path: http://192.168.1.76:80/index.php
|     Form id: myusername
|_    Form action: checklogin.php
|_http-stored-xss: Couldn't find any stored XSS vulnerabilities.
| http-enum: 
|   /database.sql: Possible database backup
|   /icons/: Potentially interesting folder w/ directory listing
|   /images/: Potentially interesting directory w/ listing on 'apache/2.2.8 (ubuntu) php/5.2.4-2ubuntu5.6 with suhosin-patch'
|_  /index/: Potentially interesting folder
| http-slowloris-check: 
|   VULNERABLE:
|   Slowloris DOS attack
|     State: LIKELY VULNERABLE
|     IDs:  CVE:CVE-2007-6750
|       Slowloris tries to keep many connections to the target web server open and hold
|       them open as long as possible.  It accomplishes this by opening connections to
|       the target web server and sending a partial request. By doing so, it starves
|       the http server's resources causing Denial Of Service.
|       
|     Disclosure date: 2009-09-17
|     References:
|       https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2007-6750
|_      http://ha.ckers.org/slowloris/
139/tcp open  netbios-ssn
445/tcp open  microsoft-ds
MAC Address: 00:0C:29:85:3D:2D (VMware)

Host script results:
|_smb-vuln-ms10-054: false
|_smb-vuln-ms10-061: false
|_smb-vuln-regsvc-dos: ERROR: Script execution failed (use -d to debug)

Nmap done: 1 IP address (1 host up) scanned in 344.98 seconds

存在TRACE方法！然后就是存在一个数据库的文件~ 没有其他的暴露出来的信息了，看来突破点可能是在80端口上，先尝试在80端口上寻找突破，没什么思路的话，再看samba~

渗透测试

尝试访问80端口上运行的服务：

有一个登陆注册的页面，这里可以尝试sql注入等相关的信息，同时，如果经过抓包，是明文或者密码是可以解密的话，那么我们就可以进行爆破！先看看源码中是否有相关提示：

没什么提示，当我们输入账号和密码的时候，会提交给checklogin.php进行处理！其他的没什么信息~先等等进行sql注入等测试，由于上面在信息收集的时候，发现了数据库文件，尝试访问下载下来观察下，并在进行一下目录的扫描：

这个database.sql文件中发现了数据库中存在表“members” 同时还有一个用户是john 密码是1234 那么我们就不需要去爆破了，直接尝试拿着这个用户去登陆即可！

这里还去做了下目录的扫描。没什么新的发现，接下来就是去登录了。

尝试了database.sql里面的用户名john和密码1234，发现登陆失败了~ 那就看看有没有sql注入吧：

发现mypassword字段可能存在sql注入！尝试使用万能密码进行登录！

这里就直接抓包，然后修改mypassword字段的值为1'+or+'1'='1 用户名就是john~

登陆成功了~

登陆进来什么都没有，由于url变成了username=john，所以尝试修改username=admin等其他用户，观察是否存在水平或者垂直越权漏洞；发现并没有：

既然存在sql注入，这里我就尝试直接上sqlmap去跑：

sqlmap跑出来另一个用户和密码信息，这个密码信息看起来很像是base64；

这个密码就是这样的，其实不是base64；

尝试进行登录：

登陆成功上来还是这个用户控制面板信息，什么功能都没有，这怎么办？ ssh碰撞？先把两个账号和密码信息记录在这里：

john	MyNameIsJohn
robert ADGAdsafdfwt4gadfga==

进行碰撞ssh：

第一个用户，就直接登陆成功了~

当前的bash，应该是rbash，受限制的bash环境~ 咱们先退出，尝试另一个，如果还是rbash那就需要去绕过rbash：

还是看不到什么东西~ 这里我不清楚是不是rbash；以前的时候看到过一个靶场类似于这种情况，先看看能不能绕过！

尝试执行了几个命令，发现这就是rbash；ls echo cd 都是可以利用的但是 / 不能利用；开始进行Linux环境信息的枚举；

ls
cd 
echo
>
>>
<
|

执行sudo，会断开连接~

不能用的东西有点点多啊~ 突然看到了我们刚使用ssh登陆进来的时候，可以使用？或者help来查看使用的相关命令：

发现了8个命令：

cd clear echo exit help ll lpath ls

那估计就是使用这上面的命令来绕过rbash！

由于我们是通过ssh进行登陆的，登陆进来便是rbash环境了，所以这里尝试ssh绕过rbash，但是失败了：

尝试了很多种方式，都没有绕过，最终的绕过语句为：

echo os.system('/bin/bash')

#刚开始尝试了 echo `ls`     echo $(ls)  都无法执行

提权

进入网站的目录，发现网站的目录下面，存在两个用户的目录，进入到了john目录下面，发现了mysql的数据库账号和密码等相关信息：

尝试进入mysql，在这之前看了一下/etc/passwd：

发现我们刚才的shell被称作是kshell；

在数据库中发现“secure_file_priv”的值为空！可能存在UDF提权~

通常情况下是mysqld_safe是以root执行的，但是mysqld是以mysql用户执行的，但是这里可以看到二者都是以root权限执行的，所以可以尝试进行UDF提权！

存在func表；这块已经存在UDF库，不需要再进行导入了，直接进行利用：

利用sys_exec将当前用户追加到admin组中：

select sys_exec('usermod -a -G admin john');

退出之后，查看当前用户所具有的权限：

至此提权成功~ root下面还有一个最终的flag文件！

总结

整个靶机在练习的过程中，出现了两个问题：

关于rbash的绕过，掌握的有所欠缺，并未成功的绕过rbash；
关于UDF提权同样也是理解不到位，需进一步加深对UDF提权的理解；

靶机还存在文件包含漏洞，这是在看了wp之后，才发现的，具体漏洞位置出现在member.php：

变量page通过GET方式传递的username来得到；利用preg_replace()函数将变量page中的/etc/替换为空，但是只是替换了一次，所以这里可以尝试双写绕过；同时后面还通过“.”来拼接了.php

由于php版本为5.2.4，当php版本小于5.3的时候，便可利用%00来截断，从而绕过了后面拼接的php，最终file_exists()函数判断变量page存在，便会包含这个文件；

Y4y17

关注

7
点赞
踩
9

收藏

觉得还不错? 一键收藏
打赏
0
评论
Kioptrix-4

靶场练习
复制链接

扫一扫

专栏目录