14. CTF综合靶机渗透(七)

靶机说明

NinevehV0.3.7z是一个难度为初级到中级的BooT2Root/CTF挑战。

VM虚机配置有静态IP地址（192.168.0.150）

目标

Boot to root：获得root权限，查看flag。

运行环境

靶机：静态IP是192.168.0.150。
攻击机：同网段下有kali攻击机（物理机），IP地址：192.168.0.128，安装有Nmap、Burpsuit、Wireshark、Sqlmap、nc、Python2.7、JDK、DirBuster、AWVS、Nessus等渗透工具，也可以使用windows攻击机。

信息收集

端口服务识别

启动NinevehV0.3.7z虚拟机，由于IP已知，使用nmap扫描端口，并做服务识别和深度扫描（加-A参数），命令：

nmap -T4 -A -p 1-65535 192.168.0.150

发现只开放了80和443这2个端口，但是后面有一个ssl-cert 也就是ssl证书

比较敏感也就是443端口，

我们先访问 http://192.168.0.150

HTTP协议传输的数据都是未加密的，也就是明文的，因此使用HTTP协议传输隐私信息非常不安全，为了保证这些隐私数据能加密传输，于是网景公司设计了SSL（Secure Sockets Layer）协议用于对HTTP协议传输的数据进行加密，从而就诞生了HTTPS。
简单来说，HTTPS协议是由SSL+HTTP协议构建的可进行加密传输、身份认证的网络协议，要比http协议安全。

我们再访问 https://192.168.0.105

我们尝试扫描目录，大家在windows常用御剑，这里推荐kali下的dirb ,或者dirsearch.py脚本

dirsearch.py 具体脚本及其用法：http://www.freebuf.com/column/153277.html

我们先扫描 https://192.168.0.150

我们顺带扫描一波 http://192.168.0.150

综上所述，我们发现https有个 /db/ 目录，http 有个 /department/ 目录

我们先访问 /db/ 目录看看:

发现是个登陆页面，而且系统cms为 phpLiteAdmin v1.9 我们google hacker一把

发现存在远程php代码执行漏洞：http://blog.51cto.com/penright/1116853

不过我们首先需要登陆进去，看来只有使用爆破了

我们用burpsuite抓包，加载字典，爆破

爆破得出密码为 password123 ,如果爆破不出来，只能说明你的字典不够强大

登陆进去后发现：

登陆成功后就按照爆出的漏洞payload开始尝试破解

先创建一个数据库 test.php

发现创建成功：

在test.php为扩展名的数据库中新建表a,并插入一句话代码<? php echo system($_REQUEST['cmd']); ?>

一切准备就绪，我们还差一个能触发的点，现在我们回头看这个 http 下的 /department 目录：

发现登陆框，我们先来一波弱口令，万能密码....发现失败，但是看源代码有了其他发现：

怀疑用户名是admin

根据页面回显的不同，确定是admin ,就剩密码的话。。。。爆破吧

爆破发现密码是 1q2w3e4r5t ,这密码也是够新奇的

登陆：

我们分别点击几个栏目，当点到 notes 时

登录在 http://192.168.0.150/department/manage.php?notes=files/ninevehNotes.txt 是一个简单任意文件读取，但是这里的读取文件是被写入白名单里的，就是它只能读取结尾带 ‘ ninevehNotes ’ 的文件，测试如图：

这样的话，我们在数据库中插了一个马，如果能被远程文件包含利用，必须是 ninevehNotes 结尾的

这就需要我们修改数据库名：

这样的话，我们尝试文件包含，来执行我们的linux命令:

解析下来我们选择 nc监听端口来getshell

反向shell获取参考 http://pentestmonkey.net/cheat-sheet/shells/reverse-shell-cheat-sheet

将其转换成交互式的shell，方便运行su。在终端中执行：

python -c 'import pty;pty.spawn('/bin/bash')'

python2没有spawn，我们使用python3

python3 -c 'import pty;pty.spawn("/bin/bash")'

我们需要设置tty 保证我们在nc shell 上与终端完全交互，以便使用所有功能（tab-complete，history，job control等）：

参考：如何将简单的Shell转换成为完全交互式的TTY

http://www.52bug.cn/%E9%BB%91%E5%AE%A2%E6%8A%80%E6%9C%AF/3529.html
或者：
学习人家的方法，
用kali的msf来生成马，进而进行反弹shell

但是这个权限还算不够的，我们只能通过提权做进一步操作。大家肯定都直接想到脏牛提权了，但是本靶机没有这个漏洞，本菜在进行磁盘查看的时候，发现一个叫“/report”的文件夹，通过查看里面的文件发现是一个rootkit检测工具的实时报告文件，如图

本菜使用比较笨的方法，就是把所知道的关于rookit的检测工具都进行全盘搜索，最后定位到使用了“chkrootkit”，

通过查看其版本号和配置信息结合google搜索，发现一个本地提权漏洞，而MSF也已经有该利用脚本，如图：

通过该漏洞最终拿下来root权限并得到flag：

本靶机还可以通过获取ssh key 来提权，ssh key写在一个名叫“nineveh.png”图片内，如图：