靶机详情 靶机名称:KiraCTF 靶机作者:Bassam Assiri
靶机难度:简易(作者没说明,但我认为是这样没错) 靶机发布时间:2020-11-04 靶机环境 系统:Ubuntu 平台:Vmware 网卡:桥接模式 信息收集 靶机部署好了之后,我们使用Kali自带的arp-scan去对其局域网存活主机进行识别 class="ztext-empty-paragraph">
 class="ztext-empty-paragraph">
发现靶机ip为:192.168.0.103,接着下一步对目标进行端口扫描 -sS:半开放扫描 -T4:扫描速度为第四级 -p 1-65535: 全端口扫描 -v:列出扫描详情 Starting Nmap 7.91 ( https://nmap.org ) at 2020-12-08 15:47 CST Initiating ARP Ping Scan at 15:47 Scanning 192.168.0.103 [1 port] Completed ARP Ping Scan at 15:47, 0.05s elapsed (1 total hosts) Initiating Parallel DNS resolution of 1 host. at 15:47 Completed Parallel DNS resolution of 1 host. at 15:47, 0.00s elapsed Initiating SYN Stealth Scan at 15:47 Scanning 192.168.0.103 [65535 ports] Discovered open port 80/tcp on 192.168.0.103 Completed SYN Stealth Scan at 15:47, 1.18s elapsed (65535 total ports) Nmap scan report for 192.168.0.103 Host is up (0.00055s latency). Not shown: 65534 closed ports PORT STATE SERVICE 80/tcp open http MAC Address: 00:0C:29:01:47:D9 (VMware) Read data files from: /usr/bin/../share/nmap Nmap done: 1 IP address (1 host up) scanned in 1.38 seconds
行叭,就开放了个80端口,那就当作我们的第一突破口,直接访问80端口 访问之后发现有一个文件上传的功能,以及一个不知道能干嘛的东西 那既然有上传,那就先尝试上传php,看看能不能上去 class="ztext-empty-paragraph">
 class="ztext-empty-paragraph">
好家伙如我所愿,php上不去,系统提示我们上传的文件不是jpg文件,那接着上张图片 class="ztext-empty-paragraph">
 class="ztext-empty-paragraph">
class="ztext-empty-paragraph">
 class="ztext-empty-paragraph">
成功上去了,还返回了路径,访问康康 class="ztext-empty-paragraph">
 class="ztext-empty-paragraph">
不错,但是没啥用,还没能Getshell呢,想到还有另一个功能点,去康康 class="ztext-empty-paragraph">
 class="ztext-empty-paragraph">
发现了什么,LFI!文件包含,既然这样,思路就清晰了。 Getshell 首先准备一张图片,利用copy的方式将冰蝎的php马写进去,利用文件包含的形式Getshell class="ztext-empty-paragraph">
 class="ztext-empty-paragraph">
class="ztext-empty-paragraph">
 class="ztext-empty-paragraph">
上传之后在文件包含处进行url拼接就可以丢进冰蝎连接了 class="ztext-empty-paragraph">
 class="ztext-empty-paragraph">
class="ztext-empty-paragraph">
 class="ztext-empty-paragraph">
反弹Metepreter 利用冰蝎自带的反弹Metepreter功能,将shell反弹到kali上 class="ztext-empty-paragraph">
 class="ztext-empty-paragraph">
利用python返回一个TTY交互式界面 class="ztext-empty-paragraph">
 class="ztext-empty-paragraph">
正好是在网站目录下,那我们看看上传的源码和文件包含的源码 if(isset($_POST['Submit1'])) { $extension = pathinfo($_FILES["file"]["name"], PATHINFO_EXTENSION); if($extension=='jpg' || $extension=='jpeg' || $extension=='png' || $extension=='gif') { move_uploaded_file($_FILES['file']['tmp_name'],("uploads/".$_FILES['file']['name'])); Echo "<script>alert('upload Done'); </script><b>Uploaded !!!</b><br>name : uploads/".$_FILES['file']['name']; } else { echo "File is not image"; } }
?>
大概意思就是首先判断有没有文件传入,有文件传入就利用pathinfo()函数返回文件的路径,并使用PATHINFO_EXTENSION返回规定的数组,也就是返回extension,看实例会更清楚: print_r(pathinfo("/testweb/test.txt")); ?> ---------------------------------------------- Array ( [dirname] => /testweb [basename] => test.txt [extension] => txt [filename] => test )所以说我们上传的文件都会被检测后缀,使用类似白名单的形式去做了一个上传限制,所以只能上它规定的四个后缀的文件。再看到language.php if(isset($_GET['lang'])){ include("/var/www/html/".$_GET['lang']); } ?> <!DOCTYPE html> <html> <head> <title>LFI</title> </head> <body> <input type="submit" value="language" onclick="window.location='/language.php?lang=en.php';" /> </form> </body> </html>直接使用了include()函数进行文件读取,没有做限制以及过滤,所以导致了文件包含 言归正传,接着在当前目录下的文件夹中找到了一个密码,是用户bassam的密码 class="ztext-empty-paragraph">
 class="ztext-empty-paragraph">
切换用户 class="ztext-empty-paragraph">
 class="ztext-empty-paragraph">
提权 成功来到了bassam用户下,并在/home/bassam下找到了第一个Flag class="ztext-empty-paragraph">
 class="ztext-empty-paragraph">
开始提权,linux提权主要分为几种: 1、脏牛提权-需要系统的内核版本在可提权版本内 2、利用地权限用户下可被root用户调用的脚本提权 3、利用环境变量劫持高权限程序提权 这里我们使用第二个方法进行提权,首先查看自己能执行的sudo下的命令,这时候会提示你输入bassam的密码,输入进行就可以了 class="ztext-empty-paragraph">
 class="ztext-empty-paragraph">
find是全体用户的权限,那说明也包括root,那就利用find进行提权,可以利用gtfobins查询提权的命令 class="ztext-empty-paragraph">
 class="ztext-empty-paragraph">
在终端下执行这条命令,就可以成功提权至root用户,好家伙我直接好家伙,继续利用python交互出TTY class="ztext-empty-paragraph">
 class="ztext-empty-paragraph">
这样我们就成功提权了,并在root目录下拿到最后的Flag 总结 知识点: 1、制作图片马 2、文件包含 3、sudo提权 第一次自主完成靶机,没看攻略,而且目前位置网上还没有出现该靶机的攻略,这一点还是让自己有点点成就感的;如果文章中有什么不对的地方,希望各位大佬斧正!蟹蟹!!转载请说明噢!
|