VulnHub-Stapler: 1-Walkthrough

靶机地址：https://www.vulnhub.com/entry/stapler-1,150/
靶机难度：中级（CTF）
靶机发布日期：2016年6月8日
靶机描述：Stapler is reported to be one of several vulnerable systems that are supposed to assist penetration testers with challenges similar to Offensive Security’s PWK coursework.
目标：得到root权限&找到flag.txt
作者：大余
时间：2020-01-07

请注意：对于所有这些计算机，我已经使用VMware运行下载的计算机。我将使用Kali Linux作为解决该CTF的攻击者机器。这里使用的技术仅用于学习教育目的，如果列出的技术用于其他任何目标，我概不负责。

一、信息收集

描述：
在这里插入图片描述
我们在VM中需要确定攻击目标的IP地址，需要使用nmap获取目标IP地址：

我们已经找到了此次CTF目标计算机IP地址：192.168.56.101
这台靶机只能Vb打开，不太习惯，这边只能把网络设置成桥接了Vb和VM一起将就用…
在这里插入图片描述

命令：nmap -sS -sV -T5 -A -p- 192.168.56.101
可以看到有很多容易受到攻击的端口都开着，FTP、NetBIOS、、MySQL和运行Web服务器（Apache HTTPD）的端口12380等等
端口多了就从第一个端口入手吧…
nmap扫描出：
ftp-anon: Anonymous FTP login allowed (FTP code 230)
可以匿名登录的意思
在这里插入图片描述
我们登录后，进去发现只能匿名访问，不能写…查看有个note文件，下载到本地继续查找信息…

Elly说请确保更新了有效负载信息，完成后将其保留在您的FTP帐户中，John
获得两个用户名…没有密码，先保留信息…继续22端口渗透…
在这里插入图片描述
无法直接登录，跳过…
检查80端口…

nikto（开源WEB安全扫描器）进行扫描试试…

抓取这两个数据也没啥信息…
nmap扫描出的信息：
139/tcp open netbios-ssn Samba smbd 4.3.9-Ubuntu (workgroup: WORKGROUP)
看看139的Samba信息，这是一个开放的netbios-ssn，用smbclient来查看（属于samba套件，它提供一种命令行使用交互式方式访问samba服务器的共享资源）
在这里插入图片描述
Enum4linux是一个用于枚举来自Windows和Samba系统的信息的工具
或者使用enum4linux来查看…

命令：enum4linux 192.168.56.101 >dayu.out

两种方式都可以看到两个活跃的用户…kathy、tmp

命令：smbclient //fred/kathy -I 192.168.56.101 -N
使用smbclient连接到此共享，并看到有两个文件夹kathy_stuff和backup…
在这里插入图片描述
发现todo-list.txt

直接将文件考入本地…
继续访问tmp

命令：smbclient //fred/tmp -I 192.168.56.101 -N
这里竟然有个文件叫LS（和查询一样容易忽略），下载到本地

Kathy用户

这里的意思是
亲爱的凯西，您还应该在WordPress根文件夹中备份wp-config.php文件…
nmap扫描出：3306/tcp open mysql MySQL 5.7.12-0ubuntu1
这里尝试登陆mysql…
在这里插入图片描述
测试了几次猜的密码，登不上去，算了…
继续下一个端口…

二、web渗透

nmap扫描出:12380/tcp open http Apache httpd 2.4.18 ((Ubuntu))
在这里插入图片描述
查看源代码

发现Zoe用户

命令：nikto -h 192.168.1.13:12380
运行nikto查看下网站信息，发现存在三个目录/admin112233/，/blogblog/和/phpmyadmin/
http访问都是正常页面…返回nmap扫描的结果可以看出，存在https方式访问
在这里插入图片描述

Wordpress 4.2.2

admin112233目录将我重定向到xss-payloads.com，blogblog让我进入了WordPress的博客…
对WordPress实例运行wpscan并枚举所有用户，这边是局域网就不截图了，真是很无奈…

命令：wpscan --url https://192.168.1.13:12380/blogblog/ --enumerate uap
因为局域网原因，我在vb上执行得命令，坑爹…
发现wp-content和wp-includes两个目录…和XSS漏洞，路径遍历漏洞和一些插件…还发现嵌入式视频或者播放列表，可以执行LFI漏洞攻击
先访问目录看看把
在这里插入图片描述
advanced video

这边得到信息：Wordpress 4.2.2 videos exploit，去谷歌搜索能利用的exp
在这里插入图片描述
或者kali搜索

了解下python写的exp，学习学习

这边利用39646.c代码中的：http://127.0.0.1/wordpress/wp-admin/admin-ajax.php?action=ave_publishPost&title=random&short=1&term=1&thumb=[FILEPATH]
Exploit - Print the content of wp-config.php in terminal (default Wordpress config)

直接访问http://192.168.56.108/wordpress/wp-admin/admin-ajax.php?action=ave_publishPost&title=random&short=1&term=1&thumb=/var/
页面内容会出现一个地址：
https://192.168.56.108/blogblog/?p-250（访问）
访问发现在这里插入图片描述
下载后查看
root/plbkac

登录数据库

转到WordPress并检索用户

将文件考出放到文本，然后扫选出user_pass值

命令：awk -F’|’ ‘{print $4}’ dayu.txt.txt
复制黏贴将值继续放入文本
使用john的rockyou.txt破解密码：reliably
在这里插入图片描述

通过install plugins函数写了个php反向外壳…

上传php
然后本地nc开启443
获得www-data低权限然后运行uname -a，发现内核版本为4.4…不多说

使用这个39772.c的exp，提权！！（不多做介绍了，后面文章也是慢慢减少步骤，前期文章都有写很详细）
然后上传到靶机，执行即可提权ROOT
在这里插入图片描述
flag：b6b545dc11b7a270f4bad23432190c75162c4a2b