其他分享
首页 > 其他分享> > VulnHub-Raven: 2 靶场渗透测试

VulnHub-Raven: 2 靶场渗透测试

作者：互联网

 

时间：2021.2.15

靶场信息：
地址：https://www.vulnhub.com/entry/raven-2,269/
发布日期：2018年11月9日
目标：Raven 2是中级boot2root VM， 有四个标志要捕获，在多次违反之后，Raven Security采取了额外的措施来加固其Web服务器，以防止黑客入侵。您是否仍然可以违反Raven？

一、信息收集

1、获取靶机IP地址

nmap -sP 192.168.137.0/24

image-20210215134903409

由探测的结果可知，靶机的IP为192.168.137.130

2、扫描开放的端口和服务

nmap -sS -sV -T5 -A -p- 192.168.137.130

image-20210215135144898

得到开放的端口信息：

22/tcp    open  ssh     OpenSSH 6.7p1 Debian 5+deb8u4 (protocol 2.0)
80/tcp    open  http    Apache httpd 2.4.10 ((Debian))
111/tcp   open  rpcbind 2-4 (RPC #100000)
35264/tcp open  status  1 (RPC #100024)

3、网站信息收集

由于开放了80端口，运行了一个web应用，打开浏览器访问看看

image-20210215150520855

先使用dirb进行目录扫描

dirb的简单使用

参数：

======================== OPTIONS ========================
 -a <agent_string> : Specify your custom USER_AGENT.
 -b : Use path as is.
 -c <cookie_string> : Set a cookie for the HTTP request.
 -E <certificate> : path to the client certificate.
 -f : Fine tunning of NOT_FOUND (404) detection.
 -H <header_string> : Add a custom header to the HTTP request.
 -i : Use case-insensitive search.
 -l : Print "Location" header when found.
 -N <nf_code>: Ignore responses with this HTTP code.
 -o <output_file> : Save output to disk.
 -p <proxy[:port]> : Use this proxy. (Default port is 1080)
 -P <proxy_username:proxy_password> : Proxy Authentication.
 -r : Don't search recursively.
 -R : Interactive recursion. (Asks for each directory)
 -S : Silent Mode. Don't show tested words. (For dumb terminals)
 -t : Don't force an ending '/' on URLs.
 -u <username:password> : HTTP Authentication.
 -v : Show also NOT_FOUND pages.
 -w : Don't stop on WARNING messages.
 -X <extensions> / -x <exts_file> : Append each word with this extensions.
 -z <millisecs> : Add a milliseconds delay to not cause excessive Flood.
​

这里简单的爆破一下目录

image-20210215151534678

这里重点看一下vendor目录，一个个点开看了看，然后在PATH文件里找到了第一个flag

image-20210215154042561

接着在README.md里面看到了PHPMailer(一个功能齐全的PHP电子邮件创建和传输类)

image-20210215154424975

并且在VERSION里看到了版本为5.2.16

image-20210215154619571

二、漏洞探测

PHPMailer远程命令执行漏洞

PHPMailer是PHP电子邮件创建及传输类，用于多个开源项目：WordPress, Drupal, 1CRM, SugarCRM, Yii, Joomla!等。

PHPMailer < 5.2.18版本存在安全漏洞，可使未经身份验证的远程攻击者在Web服务器用户上下文中执行任意代码，远程控制目标web应用

参考链接：

[PHPMailer任意文件读取漏洞分析]   https://www.freebuf.com/vuls/124820.html [POC​]  https://www.exploit-db.com/exploits/43056 

三、漏洞利用

利用searchsploit 搜索可以利用的漏洞

image-20210215160330541

将对应的py文件拷贝出来

image-20210215160521342

然后修改exp里面的参数

image-20210215161903433

然后python 40974.py，如果报错的话，就需要安装requests_toolbelt模块

pip install requests-toolbelt

然后执行成功之后，结果如下：

image-20210215161948546

接着访问http://192.168.137.130/contact.php，就会生成后门shell.php，然后本地用nc开启监听，再访问shell.php，就成功反弹了一个shell

image-20210215162713951

这里反弹shell之后有几个小技巧：

  1. 一些命令如su和ssh，需要一个正确的终端才能运行

  1. 通常不显示STDERR

  1. 无法正常使用vim等文本编辑器

  1. 没有完成标签

  1. 没有向上箭头使用历史

  1. 没有jobcontrol等

我们可以使用python提供的pty模块，只需要一行脚本就可以创建一个原生的终端

python -c 'import pty; pty.spawn("/bin/bash")' 
ctrl + z      暂停进程
stty -echo raw    改编码格式
fg 切换回原来进程

ok，具体操作上图已经有了，我们继续找flag

image-20210215163846482

好像找到了两个可能和flag有关的文件，我们打开看看

image-20210215164022467

image-20210215164037561

果然，两个文件都存在flag，我们现在获取的是一个低权限的用户，最后一个flag猜测应该是要获取到root权限才能找得到，很有可能和wordpress有关，我们进入wordpress文件夹里，发现其配置文件

image-20210215164448742

查看wp-config.php的内容，发现了网站的数据库为mysql，以及mysql的root密码

image-20210215164653811

四、提权

LinEnum

LinEnum是一款Linux文件枚举及权限提升检查工具，可以帮助渗透测试人员对linux系统漏洞或安全问题进行一键式体检

具体的可参考：

[LinEnum​]  https://github.com/rebootuser/LinEnum/blob/master/README.md 

在kali中下载好

image-20210215165653860

用python搭建以一个简易的服务器来把文件下载到靶机里面

python -m SimpleHTTPServer 8888

image-20210215170001698

image-20210215165936570

然后修改一下LinEnum.sh的权限，让它可以执行

image-20210215170434452

执行之后发现Mysql是用root登录的

image-20210215172009802

当然也可以使用如下命令：

ps -aux | grep root：查看当前以root用户身份运行的所有进程
ps -ef | grep mysql：查看所有关于mysql的进程
dpkg -l | grep mysql：查看mysql相关安装包的版本

根据之前获得的mysql的root用户的密码，我们可以登录mysql

image-20210215172454705

mysql的版本果然为5.5.6，然后在exploit-db里找到了可以利用的漏洞信息：

[MySQL 4.x / 5.0（Linux）-用户定义函数（UDF）动态库（2）​]  https://www.exploit-db.com/exploits/1518 

相应的exp它也给出来了，这里就用kali里面现成的：

image-20210215174532461

exp的具体使用方法也给出了

image-20210215174707698

然后在kali上进行编译生成so文件

image-20210215175442009

关于gcc的用法，可以参考：

[GCC 参数详解]  https://www.runoob.com/w3cnote/gcc-parameter-detail.html 

再将生成的so文件上传到靶机上

image-20210215175735275

然后进入数据库创建数据表 foo，向表中插入二进制数据，然后利用dumpfile函数把文件导出， 再新建存储函数do_system 类型是integer，别名（soname）文件名字

image-20210215180600334

然后通过do_system函数给find命令所有者的suid权限，使其可以执行root命令

image-20210215181009899

然后使用find执行 shell，最后找到第四个flag

image-20210215181533896

总结

第一次接触到了PHPMailer相关的漏洞，对于mysql的udf提权有了更加深刻的认识，当然在渗透的过程中也认识了一些新的、实用的命令和工具。

标签：shell,PHPMailer,com,flag,VulnHub,mysql,靶场,root,Raven
来源： https://www.cnblogs.com/darklee/p/14404229.html