ch4inrulz解析

拿到靶场二话不说先去扫一波ip地址

图片.png

或者也可以用nmap去跑一波

nmap -sP 192.168.133.0/24

找到对应的ip的时候再用nmap对其进行详细的探测

图片.png

然后用dirb或者dirsearch爆破web目录

图片.png

发现有robots.txt，结果是个空的

图片.png

访问development目录

图片.png

要求输入用户名密码，作罢，然后还剩下一个8011端口,看了一下没什么用估计是个静态页面，只能继续爆破看看还有什么目录

只找到一个api的目录

图片.png

只剩下一个还好用，别的都已经G了

图片.png

说“没有参数调用文件传递给我”

• 它给了我们一个提示，我们必须传递一个名为file的参数。

GET方式传递

图片.png

POST方式传递(显示为空)

图片.png

通过POST模式传递进去的文件可以被包含进来

图片.png

既然这个地方有文件包含，肯定第一步就是通过伪协议，读源码

图片.png

解密获得源码如下

  


********* HACKER DETECTED *********";
echo "
YOUR IP IS : ".$_SERVER['REMOTE_ADDR'];
echo "
WRONG INPUT !!
";
break;
}


if(!isset($file)){

echo "
No parameter called file passed to me
";
echo "
* Note : this API don't use json , so send the file name in raw format
";

}

/** 
else{
echo strcmp($file,"/etc/passwd");
echo strlen($file);
echo strlen("/etc/passwd");
if($file == "/etc/passwd"){
        "HACKER DETECTED ..";
        }
}
**/


?>

本来想用file_put_contents()函数写文件，结果访问的时候显示not found估计是不行，然后就卡住了一段时间，没别的思路，只能拿出我终极字典爆破。。虽然等的时间长了一点，能跑出来还是比较值的

图片.png

发现了一个index.html.bak文件，打开看看，里面有一个hash值

图片.png

然后进行解密,得到密码

图片.png

然后回到之前需要登录的网页

图片.png

图片.png

然后按照提示去找上传界面

图片.png

经过测试检测的是文件头和后缀名,所以需要在php文件头上加上对应的文件头

传是传上出去，问题是路径在哪？
现在已知信息如下

• 网站名称：FRANK TOPE
• 上传名字：Frank uploader
• 网页上的第一条信息： I love patterns

尝试了多次许多排列，例如：Frankupload，frankUploads，franksuploads等之后FRANKuploads返回的是200 ok(被深深地恶心到了)

图片.png

这个时候只是把shell传上去了，并不能解析这个文件，所以我们需要用到之前用到的文件包含漏洞,把图片中的文件内容给执行出来，反弹shell

图片.png

成功建立连接,发现是2.6的内核

图片.png

• 可以使用脏牛提权
• 可以使用Linux Kernel 2.6.36-rc8 - 'RDS Protocol' Pri提权

第一种方法：
提权的exp传到目标靶机

图片.png

执行成功之后，当前目录下生成了一个dirty的文件

图片.png

执行之后，会让你输入密码，然后就可以通过ssh登陆进去，

图片.png

图片.png

第二种方法

图片.png

图片.png

执行成功，就可以获得root权限

图片.png