Five86-1 渗透测试

一、信息收集

扫描目标主机机器开放端口

​

nmap扫描开放端口详细服务

​

扫描两个端口下的web目录，80端口有内容，10000端口下没有其他目录出现

​

访问web目录，首先是80端口下的目录

/reports目录需要用户名密码验证

​

robots.txt目录下

​

访问/ona目录，发现是一个web系统，浏览相关信息得到80端口index页面可能需要添加一条解析记录才可以访问

​

 尝试添加记录并访问

​

结果还是不行

 

​

 但是的话，可以发现，这是一个开源的项目，我们可以尝试去搜索相关的exp

​

目标网站上ONA的版本是18.1.1

所以可以选择下面的rb脚本或者sh脚本进行exp的利用

 

二、漏洞利用

需要说明，直接在msf中搜索ona的漏洞exp是没有结果的，需要将前面搜索到的exp复制到msf的exploit目录下

首先在msf的exploit目录下创建一个OpenNetAdmin文件夹，然后再复制exp过去

​

然后再msf中 reload_all 重新加载所有，再次搜索ona的exp

利用该exp

然后设置参数，进行攻击，成get shell

利用python开启一个新终端（可以记住，很有用的）

python -c 'import pty;pty.spawn("/bin/bash")'

 

接下来，用find命令查找当前用户的文件权限

find / -type f -user www-data

结果发现只有/var/www/html/reports/.htaccess有权限

查看/var/www/html/reports/.htaccess的内容

然后得到另一个文件地址

再查看/var/www/.htpasswd得到

douglas:$apr1$9fgG/hiM$BtsL9qpNHUlylaLxk81qY1

该用户名的密码是由aefhrt组成的十位密码

所以，这里经过搜索可以使用kali自带的密码工具crunch

然后再使用john进行密码的比对爆破，得到密码fatherrrrr

所以用户名密码为：

douglas  ：fatherrrrr

 

尝试登录1000端口以及80端口下的/reports

结果如下

 

接下来，尝试利用该用户名密码登录ssh，得到shell

然后查看该用户可以使用的sudo命令

发现，他可以以jen的身份无需认证运行/bin/cp命令

 

BUT，首先我们需要登录到jen用户

在这，发现jen用户其实可以没有密码ssh登录的，但是我们需要生成一个ssh密钥，然后用jen的/bin/cp 复制到其家目录下的.ssh文件夹下，然后再切换至jen用户

这里，需要使用ssh-keygen工具

首先，利用ssh-keygen生成一个公钥

然后以jen身份运行sudo复制该公钥

 

接下来，ssh至jen用户

注意到，有提示，说有新邮件，查看邮件

使用mail命令查看邮件

 

在邮件中得到，用户名密码

Moss ：Fire!Fire!

切换至Moss用户

然后切换至moss家目录下，查看所有文件

 

发现有一个.games文件夹，查看

然后发现有一个upyourgame

Sudo chmod +x,并执行一下，提权成功