Vulnhub 靶场 CORROSION: 2
Vulnhub 靶场 CORROSION: 2
前期准备
下载地址:https://www.vulnhub.com/entry/corrosion-2,745/
靶机地址:192.168.147.190
kali地址:192.168.147.193
一、信息收集
1、扫描存活服务器及nmap探测。
发现开放了22、80和8080端口。
2、访问80端口
扫描目录,没发现啥可用的信息。
3、访问8080端口。
发现是tomcat登陆界面,扫描目录,看一下文件信息。
查看readme.txt。
说在服务器上留了个文件,还有密码。
发现是个压缩包,下载下来,查看的时候发现有密码。
解压需要密码,那就爆破一下:
fcrackzip -D -p /usr/share/wordlists/rockyou.txt -u backup.zip
得到密码后,解压缩。
查看 tomcat-users.xml发现登陆账号和密码。
二、漏洞攻击
msf上有tomcat漏洞攻击,尝试利用。
设置目标用户用和密码。
run运行该模块。
进入home目录查看,发现有两个用户randy和jaye。进入randy查看文件发现有note.txt和user.txt。
查看note.txt。
note.txt 文件里说更改了 randy 对主目录的权限不能进行删除和添加。
因为 randy 下的文件不能修改,一些关键文件也无法查看,而/home/jaye 文件夹里的文件没有权限查看。所以我们尝试切换jaye用户,用之前发现的tomcat密码。
查看etc/passwd发现可以用ssh登陆。
进行ssh登陆。
发现一些文件,查看一下,发现 Files 文件夹下有个 look 文件。
是系统的look命令,look命令可以越权访问look命令在Files目录下执行命令。
LFILE=file_to_read
./look '' "$LFILE"
把/etc/shadow文件复制下来,在去msf复制/etc/passwd到本地。使用 unshadow 命令生成需要破解的密码:
unshadow passwd ushadow > pass.txt
用john破解一下:
爆破了好几个小时,爆出来两个用户:
melehifokivai (jaye)
07051986randy (randy)
第一个我们登陆过,登陆第二个。
说可以运行 /usr/bin/python3.8 /home/randy/randombase64.py,查看下该文件:
发现会以 root 运行这个python脚本,用了base64模块,查看一下该文件的权限:
发现不能更改该文件,但是他会用python程序运行,我们直接在python程序 base64 模块里面写入shell,先找到python中的base64脚本:
vim不能用,这里用nano编辑器。
先写入 os 模块,在写入shell
因为修改的是python3.8 ,所以用 python3.8 运行 randombase64.py 脚本:
拿到root权限。