vulnhub靶机渗透-Presidential-01

访客4年前黑客工具824

  靶机下载地址:https://download.vulnhub.com/presidential/Presidential.ova

  靶机描述:

  The Presidential Elections within the USA are just around the corner (November 2020). One of the political parties is concerned thatthe other political party is going to perform electoral fraud by hacking into the registration system, and falsifying the votes.

  The state of Ontario has therefore asked you (an independent penetration tester) to test the security of their server in order toalleviate any electoral fraud concerns. Your goal is to see if you can gain root access to the server – the state is still developing theirregistration website but has asked you to test their server security before the website and registration system are launched.

  This CTF was created and has been tested with VirtualBox. It should also be compatible with VMWare and is DHCP enabled.

  Rating: Medium/Hard - Enumeration is your friend

  靶机下载完成后将.ova文件导入VMWare,网卡设置为NET模式

  环境:

  kali:192.168.102.128

  靶机:192.168.102.134

  主机发现

  nmap -sP 192.168.102.0/24

  得到目标靶机的ip地址为

  端口扫描

  nmap -A 192.168.102.134 -p 1-65535

  1595149294464.png

  扫描得到目标靶机开放了80端口和2082端口,分别为http和ssh端口

  先访问80端口

  image.png

  对网站进行指纹识别

  whatweb http://192.168.102.134

  1595156232273.png

  发现该网站使用的语言为php

  使用nikto扫描一下该网站

  nikto -h http://192.168.102.134

  1595156292255.png

  得到了一个config.php,访问发现什么都没有

  用dirsearch进行扫描

  python dirsearch.py -u http://192.168.102.134 -e php

  1595156444620.png

  得到了一个目录和一个备份文件,/assets/目录中是一些js、css和一些图片等无法利用的文件 ,之后访问config.php.bak也是一片空白,但是查看源码的时候发现了一些可利用的信息1595156585118.png

  

  发现了数据库的账号和密码等信息,但是服务器没有开启数据库端口,扫描目录也未发现登陆数据库的地方。这时候不难想到一个ip可能绑定多个域名,或许可以通过查找其子域名来发现突破点。

  在网站首页发现该网站域名为votenow.local

  1595212803248.png

  将其添加到/etc/hosts中

  1595212846057.png

  之后使用subrake或者wfuzz来进行子域名爆破

  wfuzz -w /usr/share/wordlists/dirbuster/directory-list-lowercase-2.3-medium.txt -H "Host: FUZZ.votenow.local" --hw 854 --hc 400 votenow.local

  1595213526048.png

  找到votenow.local的一个子域名datasafe.votenow.local,将其添加到/etc/hosts中进行访问,发现该域名为phpmyadmin

  1595213756343.png

  使用config.php.bak中的账号密码成功登陆

  1595213841083.png

  在users表中找到了一个用户名和一串加密的密码,尝试使用john进行解密

  john --wordlist=/usr/share/wordlists/rockyou.txt --format=md5crypt john.txt

  解密时间很长,先尝试一下其他 ***

  我们具有写入权限,尝试写入一句话木马,但是找不到网站的绝对路径,所以不能利用。

  查看phpmyadmin的版本为4.8.1

  1595216081785.png

  通过searchsploit搜索该版本漏洞发现了一个本地文件包含漏洞

  1595216492498.png

  1595216908344.png

  可根据其给出的 *** 进行getshell

  首先执行

  1595218380869.png

  之后再包含session文件

  1595218436730.png

  可以看到成功执行了php代码,使用同样的 *** 进行反弹shell

  先在kali的网站根目录创建一个shell.sh来供靶机下载

  1595219005911.png

  之后执行sql语句

  select ''

  在kali中使用nc监听7777端口

  之后包含session文件即可获得一个shell

  1595219336651.png

  这时通过john破解的密码也破解出来了,密码为Stella,尝试登录一下

  1595232696898.png

  显示权限拒绝

  1595232772089.png

  还是使用开始得到的一个shell,这个shell输入字母会自动变成双写,很不方便,使用一下命令即可

  python -c 'import pty; pty.spawn("/bin/bash")'

  stty raw -echo

  1595233430620.png

  当前用户为apache,权限很低,并且不知道密码限制了权限的提升。我们可以先切换到admin用户,其密码经过爆破为Stella

  1595235956318.png

  尝试sudo提权

  sudo -l #查看当前用户sudo持的命令

  1595237097950.png

  不能使用sudo进行提权。。

  尝试寻找一些其他有用的信息

  在服务器根目录下发现了两个文件

  1595237293076.png

  notes.txt提示利用新命令备份和压缩敏感文件,user.txt里面是一段md5,破解未成功

  常见的压缩命令为tar,看看tar的位置

  whereis tar

  cd /usr/bin

  1595237708942.png

  在浏览过程中发现了tarS命令,该命令应该就是提示中所指的新的压缩备份命令了

  在linux中引入了capabilities 机制对 root 权限进行细粒度的控制,实现按需授权,从而减小系统的安全攻击面。与SUID相似,可以限制用户的权限。 查看文件系统中具有capabilities的文件

  getcap -r / 2>/dev/null

  1595238187896.png

  1595238303788.png

  可以看到tarS命令具有 功能。它可以绕过文件读权限检查,这样我们就可以读取任何我们想要读取的文件

  我们可以通过读取root用户的SSH私钥来进行免密登陆

  cd /tmp

  tarS -cvf key.tar /root/.ssh/id_rsa

  tar -xvf key.tar

  cd root/.ssh

  ssh -i id_rsa root@localhost -p 2082

  1595238655488.png

  成功获得root权限

  1595238696923.png

  工具和知识点:

  nmap

  whatweb

  nikto

  dirsearch

  john

  searchsploit

  wfuzz爆破子域名

  phpmyadmin4.8.1本地文件包含getshell

  利用capabilities 机制提权

  参考文章:Linux Capabilities 简介

相关文章

什么样的鸡蛋不能要(什么样鸡蛋不能吃图片)

  1、   一天吃2个之上的生鸡蛋非常容易造成 缺乏营养。生鸡蛋带有很多碳水化合物。吃太多生鸡蛋会大大增加碳水化合物的摄取量,造成 血夜碳水化合物成分高和肥胖症。最开始,多吃鸡蛋是为了更好地填补身体...

流动中国折射泰民我们结婚了停拍复苏新气象

  流动中国折射复苏新气象——透视“十一”黄金周   新华社北京10月8日电 题:流动中国折射复苏新气象——透视“十一”黄金周   新华社记者   8日,寒露。8天超长假期收官。   寒露不...

2020年11月属虎搬家入宅黄道吉日

搬新家入新宅在中国的中华传统文化中是一件非常值得高度重视的大事儿,我们在搬新家入新宅前,除开要充分准备工作中以外,也要依照黄历年来挑选一个合适搬新家入新宅的吉日吉时,很多人担忧搬新家会危害到自身的运程...

怎么变成黑客打代码,哪个平台可以找黑客

怎么变成黑客打代码,哪个平台可以找黑客

一、怎么变成打代码黑客接单流程 1、有多可怕接单黑客您还可以在同一台机器上运行DOSWindows和Linux。怎么变成打代码哪个平台可以找二是在一定载波的帮助下,实现自我复制和潜在的传播和破坏性程序...

黑客帝国360镜头怎样做(黑客帝国360度视频)

黑客帝国360镜头怎样做(黑客帝国360度视频)

本文导读目录: 1、《黑客帝国》中的“子弹时间”是如何拍成的? 2、电影 子弹时间的特效是怎么做出来的? 3、黑客帝国是怎么拍摄的? 4、《黑客帝国》中凌空旋转的效果是怎么制作出来的?...

知足常乐的人生感悟(知足常乐才是人生最大的幸福)

  日常生活一直不顺心;日常生活一直不顺心的。许多 情况下,运势没法挑选,结果没法预测分析。活著是一首无音的歌。人的命运是注定的,不可以自暴自弃。只有挑选坚毅和潇洒。一些景色只有静静的赏析;一些情感只...