靶机BlackMarket

工具：nmap、dirbuster、dirb、sqlmap、cewl、crunch、hydra

涉及的漏洞：弱口令

垂直越权

SQL注入

CVE-2016-5195脏牛提权(内核竞争提权漏洞)

flag1

这个靶机有六个flag，五个常规的flag和一个root权限下的flag。

寻找靶机IP地址

nmap -sP 192.168.1.*

发现主机，靶机IP地址192.168.1.9

nmap -p- -sS -v -sV 192.168.1.9

扫描靶机开放的端口。开放了ftp服务、Web服务。

访问80端口拿到一个登陆界面。查看源码在最后面拿到第一个flag。Web登录页面没有验证码，ftp也可以访问，但是需要账号密码，这里保留对两处爆破的想法。

base64解密得到的结果是CIA - Operation Treadstone，google了一下这好像是一部影片

flag1{Q0lBIC0gT3BlcmF0aW9uIFRyZWFkc3RvbmU=}

flag2

从WP来看能搜索到一个介绍CIA - Operation Treadstone的网站https://bourne.fandom.com/wiki/Operation_Treadstone

利用cewl爬取网站生成关联词字典。

cewl https://bourne.fandom.com/wiki/Operation_Treadstone -d 1 -w BlackMarket_dic.txt

拿生成的字典对账号密码利用hydra进行爆破。爆破ftp

因为cewl太给力，爬了几千条数据，账号密码结合爆破产生了二十多万条数据，后面自己删成一百多条进行爆破，还好可以爆破，不然还真不知道得等多久。

拿到ftp的账号密码登录。在ftp里面拿到第二个flag.

flag2{Q29uZ3JhdHMgUHJvY2VlZCBGdXJ0aGVy}

If anyone reading this message it means you are on the right track however I do not have any idea about the CIA blackmarket Vehical workshop.

You must find out and hack it!

如果有人阅读了此消息，则意味着您处在正确的轨道上，但是我对CIA黑市车辆工作坊一无所知。

您必须找出并破解它！

flag3

这提示跟没有似的，没懂什么意思。在渗透测试中如果遇到阻碍，那就继续进行信息搜集。

扫目录：

访问这个302可以跳转到另一个登录界面。

看到了Squirrelmail的版本号，搜一波Squirrelmail远程代码执行漏洞(CVE-2017-7692)，但是这个漏洞的前提是有一个可以登录的邮箱账号和密码，那先放在这吧。

其实自己做到这里思路断了，不知道用什么方法去拿到Web服务下的账号密码。其实这里是利用了弱口令。/supplier这个目录会302重定向到Web登录界面，账号密码就是supplier/supplier。自己还是嫩了点。登录到网站的后台。之后就是一个垂直越权漏洞，在扫目录的时候还扫到了/user和/admin目录。我们可以从/supplier目录越权到/admin。

成功越权到admin用户。因为校验session的时候没有与一起目录进行校验，导致垂直越权。

接着在编辑用户资料的时候发现了url存在id参数

加个单引号报错，再加个单引号恢复正常，存在sql注入。尝试SQLMap注入:

sqlmap -r post.txt --level 5 --dbs --batch

获取库名

sqlmap -r post.txt --level 5 -D BlackMarket --tables --batch

获取表名

sqlmap -r post.txt --level 5 -D BlackMarket -T flag --column --batch

获取列名。

拿到flag3,意思是查找Jason Bourne电子邮件访问权限

flag4

拿到flag4是利用了平行越权漏洞，漏洞点还是在修改用户信息处，没创建一个新的用户，都会相应的产生一个新的id,不同的id对应不同的用户，将id修改成1，密码改成123，用户名改成hel10.成功的覆盖了admin的密账号，现在hel10这个账号对应的id为1，也就是对应到了管理员权限。

然后用hel10/123登录，拿到flag4，告诉我们Jason Bourne邮箱的密码是?????

flag5

一开始我们就拿到了一个邮箱的登录界面，开始的想法是利用已知的漏洞去攻击，但是现在可以不用了，我们知道了密码。用户名应该和Jason Bourne有关，试了一下，用户名是Jbourne。用Jbourne/????登录。

在邮箱里面拿到flag5,意思是他拿到一段信息不会解密。

啥也不说，没见过(置换密码(古典密码))。解密平台https://www.quipqiup.com/

告诉我们/kgbbackdoor，目录下他留了一个后门，后门是一张叫PassPass.jpg的图片，但是没有路径。前面目录爆破也没有。前面我们暴数据库的时候有一个eworkshop的库。

利用crunch生成字典进行爆破。

利用dirb爆破路径拿到路径。

访问http://192.168.1.9/vworkshop/kgbbackdoor/PassPass.jpg拿到图片、

拉到winhex。拿到后门密码

但是缺少后门路径，这个地方靠直觉了，没爆破出来。存在backdoor.php。那么后门路径就是

http://192.168.1.9/vworkshop/kgbbackdoor/backdoor.php

有一个隐藏的密码输入框看网页源码可以发现，将我们从后门图片拿到的密码输入进入，但是不对，这里需要转进制，密码是十进制的，转成十六进制再转成ascii为HailKGB。直接输入发现并没有发应，这里需要用POST传pass=HailKGB。从flag.txt拿到flag6，base64解密是Root time。

Root flag-提权

接着开始提权，先在kali监听6666端口

nc -lvnp 6666

然后利用后门的网络连接工具连接到kali的6666端口。

成功的连接到kali，利用python构建一个交互式的shell。查看系统内核。linux系统，内核版本4.4.0-31-generic。google一下可以知道这个版本可以利用CVE-2016-5195脏牛提权。这是一个内核竞争提权漏洞。

搜索脏牛漏洞的exp。我们利用第三个竞争提权的exp。

将exp复制到kali上面来，用python -m SimpleHTTPServer 8848，开启一个简单的服务，靶机用wget将exp从kali下载过去(记得下载到/tmp目录，这个目录有写入权限)。然后编译执行

拿到root权限

总结

做这个靶机花了两天的时间，中间经历了不少的挑战，但是都解决了。现在清点一下自己是怎么做的吧。cewl爬取的数据太多导致爆破时间超长。cewl一下子就爬了几千个数据，结合爆破产生了大量的数据，后面自己手动缩减了数据，只留下了一百多条，但是居然暴出来了。运气好吧。

再就是第一次用到了越权漏洞。在爆破目录的时候发现了/supplier目录和/admin目录，登录到/supplier目录下后，抓包修改可以越权到/admin目录，真的是惊喜。之后会对靶机中使用的工具和漏洞做深入的学习。包括工具的原理、漏洞成因和修补方法。

参考链接：

https://www.anquanke.com/post/id/106855

https://www.jianshu.com/p/f41e467f29d0