网络安全实战之靶场渗透技术

最新推荐文章于 2024-10-06 11:26:23 发布
最新推荐文章于 2024-10-06 11:26:23 发布
阅读量8.6k 收藏 89
点赞数 21
文章标签： web安全 安全 网络安全 渗透测试 漏洞分析
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/kali_Ma/article/details/127429832
版权

信息收集

端口扫描

nmap找到三个开放的 TCP 端口，FTP (21)、SSH (22) 和 Python 托管的 HTTP (5000)：
image.png

发现存在ftp匿名登录，使用ftp进行登录。
image.png

Flask App

访问5000端口，发现开启了web服务。
image.png

在登录框测试了一些常规漏洞，SQL注入和弱口令都没有用。

【一一帮助安全学习，所有资源获取处一一】
①网络安全学习路线
②20份渗透测试电子书
③安全攻防357页笔记
④50份安全攻防面试指南
⑤安全红队渗透工具包
⑥网络安全必备书籍
⑦100个漏洞实战案例
⑧安全大厂内部视频资源
⑨历年CTF夺旗赛题解析

网站上没有什么有趣的东西，我们去注册看看：

登录之后，重定向到/dashboard这个目录下。
image.png

“添加注释”按钮指向/add_note，它有一个表格。尝试提交一个note进行测试。
image.png

image.png

它显示在我的仪表板上。

尝试各种 XSS 有效负载，但一切似乎都正确地转义了。“Notes” ( /notes) 现在显示我的笔记：
1663032001_631fdac1e2b65db8403d5.png

单击它会导致/note/3并显示注释：
1663032002_631fdac28cb399007109c.png

我将尝试通过检查其他注释 ID（/note/1）。例如，点击“升级到VIP”的链接显示该选项当前不可用
1663032003_631fdac33a9d86124c97c.png

漏洞发现

JWT解密

尝试解密cookie。
1663032003_631fdac3e8e1bb90beb94.png

Flask cookie 看起来很像 JWT。我将尝试flask-unsign，一个用于解码、暴力破解和制作 Flask cookie 的工具，它可以工作：
1663032004_631fdac4a3ff8c241b28d.png

目录爆破

没有发现啥可以利用的地方，就继续看cookie。
image.png

Flask Unsign解密

使用flask-unsign解密

flask-unsign --decode--cookie'.eJwlx0EKgCAQBdCrDH_torU3iZCQHC0wBUcpEO-e0OrxOnYfrZws0FsH1QmkHQeLQGHNjWxhSvmhmENgR1eCGUbh7z6ra2ms0IRLsjdDY3mdx_gAqEYfRw.YkOi3g.uAoRysM25q2FzuEUmYMaCRMQ4aA'{'_flashes': [('success', 'You are now logged in')], 'logged_in': True, 'username': '0xdf'}

cookie:eyJsb2dnZWRfaW4iOnRydWUsInVzZXJuYW1lIjoiYWRtaW4ifQ.Yxvarg.S9d5IqA4nL7CBjzYp4CfnG8IoLk

命令：

flask-unsign --decode --cookie 'eyJsb2dnZWRfaW4iOnRydWUsInVzZXJuYW1lIjoiYWRtaW4ifQ.Yxvarg.S9d5IqA4nL7CBjzYp4CfnG8IoLk'

1663032006_631fdac63cc23643cf374.png

使用flask-unsign. Flask cookie 使用秘密签名，因此在不知道该密码的情况下无法修改它们。可以进行暴力破解来测试弱密码，并通过flask-unsign来提供该功能。–unsign-w，运行它会rockyou.txt返回错误：
1663032007_631fdac70442688054d38.png

它似乎将文件中的“123456”通过添加–no-lteral-eval. 我将添加它，它可以很快找到秘密：
1663032007_631fdac7d5a73e5b5a939.png

以管理员身份访问测试

生成一个管理员的cookie，然后替换到浏览器当中去。

eyJsb2dnZWRfaW4iOnRydWUsInVzZXJuYW1lIjoiYWRtaW4ifQ.YxvdIw.PpnxZ3h8WkIo_5JMIfhCDD7hXo8

image.png

带有 Cookie 的暴力用户名

使用time将可能的用户名生成一个cookie 列表。
image.png

代码分析

这将获取一个名称列表并生成我需要的所有 cookie。这实际上很慢，运行时间超过 8 分钟。这是因为每项工作都必须启动，其中包括导入所有 Flask。

我可以深入研究一下flask-unsign源代码，并跟踪我用–sign.

@lru_cache()
def get_serializer(secret: str, legacy: bool, salt: str) -> URLSafeTimedSerializer:
    """
    Get a (cached) serializer instance
    :param secret: Secret key
    :param salt: Salt
    :param legacy: Should the legacy timestamp generator be used?
    :return: Flask session serializer
    """
    if legacy:
        signer = LegacyTimestampSigner
    else:
        signer = TimestampSigner

    return URLSafeTimedSerializer(
        secret_key=secret,
        salt=salt,
        serializer=TaggedJSONSerializer(),
        signer=signer,
        signer_kwargs={
            'key_derivation': 'hmac',
            'digest_method': hashlib.sha1})

向后追溯，我可以发现默认的 salt 是“cookie-session”。我知道或只是在文件顶部导入的其他内容。我可以使用它来生成我自己的脚本：

#!/usr/bin/env python3

import hashlib
import sys
from flask.json.tag import TaggedJSONSerializer
from itsdangerous import TimestampSigner, URLSafeTimedSerializer

if len(sys.argv) < 2:
    print(f"{sys.argv[0]} [wordlist]")
    sys.exit()

with open(sys.argv[1], 'r') as f:
    names = f.readlines()

for name in names:
    cookie = URLSafeTimedSerializer(
            secret_key='secret123',
            salt='cookie-session',
            serializer=TaggedJSONSerializer(),
            signer=TimestampSigner,
            signer_kwargs={
                'key_derivation': 'hmac',
                'digest_method': hashlib.sha1
                }
            )
    print(cookie.dumps({"logged_in": True, "username": name.strip()}))

使用wfuzz检查每个 cookie，隐藏 302 响应（重定向回/login

1663032009_631fdac9eaeba19da2063.png

枚举到一个，解码为blue，发现一个blue用户。
1663032010_631fdacacc269f53e0926.png

使用登录 Oracle 的暴力用户名

使用wfuzz对所有用户发送登录请求，并注意任何不响应“无效凭据”的用户。有一个文件： names.txt
1663032011_631fdacb92436d2a31b37.png

它返回了一个有效的用户名，blue（就像我通过制作 cookie 找到的一样）。我将flask-unsign用来制作 cookie：
image.png

站点访问/枚举

无论我以哪种方式获得blue的cookie，替换 Firefox 开发工具中的当前 cookie，然后重新加载/dashboard显示我现在以blue登录：
1663032013_631fdacdab87fa552b894.png

还有“导入笔记”和“导出笔记”按钮。我稍后会回到这些。
1663032014_631fdace63fab4d947ad3.png

发现FTP登录的用户和密码。
1663032015_631fdacf37e420235c944.png

image.png

FTP登录

image.png

发现一个 是关于密码安全的PDF，下载下来，然后进行分析。

发现了默认的用户名格式。
image.png

以 ftp_admin 身份访问 FTP

ftp_admin@Noter！

有一个目录files和一个PDF。目录为空：

发现2个zip文件，将它们都下载到本地。
image.png

md 到 pdf 中的 RCE

使用unzip -l查看压缩包文件内容。
1663032019_631fdad328801dc5035a7.png

使用diff命令比较2个压缩包的区别。
image.png

我app.py将从每个中提取，并将它们重命名为app-1.pyand app-2.py：

继续使用diff进行比较。运行diff app-1.py app-2.py显示第一个对数据库有不同的信任：
image.png

来源分析

该代码很有趣，export_note_local在andexport_node_remote函数中有一个有趣的东西。每个人都会得到一个注释，要么在本地读取它，要么从给定的 URL 读取它，然后用来针对它subprocess运行一个nodeJavaScript 程序。例如，来自export_node_local：

rand_int = random.randint(1,10000)
command = f"node misc/md-to-pdf.js  /pre>{note['body']}' {rand_int}"
subprocess.run(command, shell=True, executable="/bin/bash")

return send_file(attachment_dir + str(rand_int) +'.pdf', as_attachment=True)

CVE-2021-23639

漏洞描述：

影响 md-to-pdf包，版本 <5.0.0

md-to-pdf是一个用于将 Markdown 文件转换为 PDF 的 CLI 工具。此软件包的受影响版本容易受到远程代码执行 (RCE) 的影响，因为它利用库灰质来解析前端内容，而不禁用 JS 引擎。

该package-lock.json文件将给出所需 JavaScript 包的版本。我将从档案中提取它并通过以下方式找到它grep：
image.png

google搜索这个包和漏洞利用会返回一个页面：
1663032022_631fdad6a869dee62188f.png

攻击者可以将有效载荷放入传入的降价中，这将导致 RCE。
image.png

获取权限

反向壳

创建一个md文件，写入反弹shell的语句来利用它。
image.png

本地先启动一个80端口，然后使用nc进行监听，接着使用网站的Export功能。

image.png

反弹Shell
image.png

获得user.txt

获得第一个user.txt文件，使用cat命令进行查看。
image.png

MySQL

我们在其中一个脚本中发现了 mysql 凭据。由于这是一个 CTF，这样的事情总是会引起怀疑。

我们检查mysql是否在本地运行：
1663032027_631fdadb49159a5bbf477.png

我们在默认端口 3306 上看到它。我们还可以检查服务，看看它是否以 root 身份运行
image.png

在 MySQL 中利用 UDF

这是。所以我们知道 mysql 以 root 身份运行，并且我们有 root 凭据来登录它。使用 Exploit-DB 上的漏洞利用我们可以将源代码复制到盒子中，编译它，然后使用它在 mysql 中创建的共享库以 root 身份执行代码。

让我们使用 searchsploit 获取代码：
image.png

本地开启一个web服务，将文件下载到目标机器上。

接着使用gcc进行编译。
image.png

然后下载到目标机器上。
image.png

MYsql登录

在之前获取到了机器的用户和密码，然后进行登录。
1663032031_631fdadfa0782441cb021.png

权限提升

Raptor

漏洞利用：

有很多关于如何使用称为 Raptor 的代码来利用以 root 身份运行的 MySQL,我的想法是，我将编写一个共享库，将 SQL 中的命令运行到插件目录中，然后添加一个命令来访问它并以 root 身份执行。

我需要获取漏洞利用文件的副本并使用注释中的说明进行编译：
1663032032_631fdae07780ba3920d71.png

将脚本文件上传上去。
image.png

漏洞利用过程

1.创建一个foo表并将二进制文件读入其中：

2.查看插件目录

3.将二进制文件写入上面的插件目录，并将其作为用户定义的函数加载：

4.测试文件权限。
1663032034_631fdae20772bcf3ccb56.png

5.运行。
image.png

mysql复制bash并将其更改为 SUID：

需要找一个文件运行的地方不是/dev/shm，因为它已经安装nosuid：

而/tmp会正常工作。因为bash删除 privs，运行它会返回一个非 root的 shell：
1663032035_631fdae38c0dda5ae15a9.png

获得root.txt

读取root.txt
1663032036_631fdae44723f46e29b2d.png

【一一帮助安全学习，所有资源获取处一一】
①网络安全学习路线
②20份渗透测试电子书
③安全攻防357页笔记
④50份安全攻防面试指南
⑤安全红队渗透工具包
⑥网络安全必备书籍
⑦100个漏洞实战案例
⑧安全大厂内部视频资源
⑨历年CTF夺旗赛题解析

总结:

靶机主要是从信息收集开始，发现是flask搭建的，然后使用flask unsign进行解密，暴力破解。接着使用枚举出的用户进行FTP登录，FTP登录之后，下载pdf文件，发现管理员账号和密码规则，然后登录FTP管理员，接着下载压缩包，进行文件分析，发现可以使用CVE-2021-23639历史漏洞可以获取权限，在文件中发现存在mysql服务，接着进行权限提升，获取到了root文件。

kali_Ma
关注
网络渗透技术
m0_62309510的博客
03-08 4614
一、收集域名信息 1、Whois查询 定义：标准的互联网协议，可用于搜集网络注册信息，注册的域名、IP地址等信息。（简单来说，Whois是一个用于查询域名是否已被注册以及注册域名的详细信息的数据库） 在线Whois查询的常用网站：爱站工具网（https://whois.aizhan.com) 站长之家(http://whois.chinaz.com) ...
靶场渗透（二）——Acid渗透
Ramona的博客
08-02 936
测试环境 靶机：Acid 打开虚拟机后设为nat模式 攻击机：kali,windows10 信息收集 • nmap扫描靶机Ip及开放端口 扫描ip:nmap -sP 192.168.111.1/24 扫描端口：nmap -p1-65535 -sV 靶机Ip 获取信息：ip为192.168.111.129 开放端口为33447/tcp 提供服务为web和apache 操作系统为ubun...
靶场渗透（一）
明哥哥知识分享
09-21 1734
测试环境 靶机：billu_b0x 攻击机：kali 信息收集 • 获取靶机ip kali: nmap -sP 192.168.111.1/24(ip段根据实际情况自己更改) 获取到的信息：ip192.168.111.128 • 扫描开启的端口 kali: nmap -p1-65535 -A 192.168.111.128 获取到的信息：开放端口22，80 渗透测试 • 根据上面信息搜集得到的80端口开放可以直接访问网站 • 根据提升尝试进行sql注入攻击 测试语句：1’ or 1=1 # 1’ an
网络渗透技术如何自学，自学黑客要多久
最新发布
bigbangbangbang1的博客
10-06 1086
学习网络渗透技术是一件靠兴趣驱动的事情，只有强烈热爱一件事才能持之以恒的去做，对于那些三分钟热度的人来说还是劝你放弃吧，因为网络渗透技术自学需要很多方面的知识，没耐心是无法学会的，当然除了有想要学习的决心之外还要有学习方法，磨刀不误砍柴工，好的学习方法可以让你事半功倍，那网络渗透技术该如何自学呢首先要学的是网络方面的知识，像ip地址的基本概念，ip段的划分，什么是C段等，还要了解网络协议，像TCP/IP协议等，知道网络数据包是如何传递的，以后会用到抓包改包等。
DC-1靶机实战和分析
weixin_48202759的博客
08-31 1035
前言 我们都知道，对靶机的渗透，可以宽阔自己的解题思路，练习并熟悉相关操作命令，提高自己的能力。下面我就对Vulnhub的DC-1靶机进行渗透，靶机设置了5个flag，咱们依次找到它。并通过图文形式讲解涉及到的相关知识点。DC-1的靶机下载地址为：https://www.vulnhub.com/entry/dc-1,292/ 目标机IP地址：198.162.9.138 攻击机kali IP地址：198.132.9.129 目标探测 渗透测试的第一步，是信息收集，这一步很重要，关系到后面的渗透步骤。下面我们对
Web安全和渗透测试有什么关系？
Python_0011的博客
03-31 1308
做渗透测试的一个环节就是测试web安全，需要明白漏洞产生原理，通过信息收集互联网暴露面，进行漏洞扫描，漏洞利用，必要时进行脚本自编写和手工测试，力求挖出目标存在的漏洞并提出整改建议，当然如果技术再精一些，还要学习内网渗透（工作组和域环境），白盒审计，app，小程序渗透那些了......可以说是最科学最系统的学习路线，大家跟着这个大的方向学习准没问题。当然除了有配套的视频，同时也为大家整理了各种文档和书籍资料&工具，并且已经帮大家分好类了。总之，web安全包含于渗透测试，但不是渗透测试的全部。
网络安全技术练习靶场.zip
01-14
在不同的领域中，靶场扮演着重要的角色，尤其是在网络安全领域，靶场成为培养和提高安全专业人员技能的重要平台。 首先，靶场为安全从业者提供了一个模拟真实网络环境的平台。通过构建类似实际网络的拓扑结构、部署...
网络安全实战靶场：渗透测试与攻防演练平台
标签中的"靶场"、"网络安全技术"、"漏洞"和"实验环境"，表明该资源将覆盖从基础网络攻防到复杂攻击模拟的全方位知识和技能训练。而文件名称列表中的"AJT-code"可能指代某种特定的靶场工具或代码库，为特定的网络环境...
【网络安全】2022年第一次靶场渗透实战学习
HBohan的博客
01-17 4232
渗透测试是通过模拟黑客或者骇客攻击，以评估计算机系统或者网络环境安全性的技术；主要的目的是进行安全性的评估，而不是摧毁或者破坏目标系统。
靶场渗透（一）——billu_b0x渗透
Ramona的博客
07-29 1155
测试环境 靶机：billu_b0x 打开虚拟机后设为nat模式 攻击机：kali 信息收集 • 获取靶机ip kali: nmap -sP 192.168.111.1/24(ip段根据实际情况自己更改) 获取到的信息：ip192.168.111.128 • 扫描开启的端口 kali: nmap -p1-65535 -A 192.168.111.128 获取到的信息：开放端口22...
服务器渗透技术
10-08
信息收集 网站常见弱点 网络硬件入侵 WINDOWS提权 内网渗透 清理日志及做跳板 WEBSHELL查杀
靶场渗透（五）——zico2渗透
Ramona的博客
08-10 631
测试环境 靶机：cizo2打开虚拟机后设为nat模式 攻击机：kali,windows10 信息收集 • nmap扫描ip，端口和服务，根据扫描结果可得 ip:192.168.111.138 端口及服务：22 ssh;80 http;111 渗透测试 • 访问网站，查看源码也没发现有价值的线索，爆破目录发现了敏感目录dbadmin且存在遍历漏洞 • 访问test_d...
技术渗透
09-14 1358
比特币、区块链、加密货币、去中心化应用、加密协议与平台的未来会是怎样？这些事物可以被统称为加密技术，与信息技术类似。从宏观层面，加密技术的发展方式可能与互联网曾经的发展方式类似。从结局角度，在过去的20年中，互联网在4个维度上产生了较大影响:1.新兴互联网企业出现，并引领了新的用户行为。2.现存机构和政府在其运营过程中接纳了互联网。3.一些行业受到了互联网的威胁，被迫转型。4.网页程序开发成为...
常用渗透测试靶场
山己见的博客
11-25 5472
1 DVWA 推荐新手首选靶场，配置简单，需下载phpstudy和靶场文件包，简单部署之后即可访问。 包含了常见的web漏洞（php的），每个漏洞分为四个等级，每个等级都有源码查看，最高等级的源码是最安全的。 DVWA靶场源码下载：http://www.dvwa.co.uk/index.php phpstudy官方下载：https://m.xp.cn/ 2 网络安全实验室 做题的靶场，也是一个基础靶场，是一个在线的靶场。 地址：http://hackinglab.cn/ 3 sqli-labs sqli-l
系统渗透技术
qq_45765921的博客
11-01 1669
系统渗透技术 什么是渗透测试 渗透测试并没有一个标准定义，国外一些安全组织达成的通用说法是，渗透测试时通过模拟恶意黑客的攻击方法，来评估计算机网络系统安全的一种方法。这个过程包括对系统的任何弱点，技术缺陷、漏洞的主动分析。 渗透测试时根据已知利用的安全漏洞，去发现是否存在响应的信息资源。通常的评估方法对评估结果具有全面性，而渗透测试是更注重安全漏洞的严重性。 进行渗透的测试可以对系统的安全性有深刻的认识，有助于完善安全系统建设，帮助用户更好的验证经过安全保护后网络是否真实的达到预期的安全性。 渗
内网渗透技术
帅醉了的博客
04-30 2412
内网穿透技术原理netshiptablesregerogEarthwormicmptunneldns2tcpc端口复用 原理 内网穿透技术原理：通过拿到shell的主机，要去访问内网的其他主机时候，通过监听本地端口，靶机转发目标内网主机到本地监听端口上。另一种是访问本地端口(内网主机)，通过映射的方式。如下图，kali通过vpn开启的8081去访问win10的3306服务。vpn先是开启监听，通过...
渗透检测技术
define_us的专栏
11-05 462
检测时，将溶有荧光染料或着色染料的渗透液施加到零部件表面，由于毛细作用，渗透液渗入到细小的表面开口缺陷中。清除附着在工件表面多余的渗透液，经干燥后加显像剂，缺陷中的渗透液在毛细作用下被重新吸附到零件表面，就成了放大了的缺陷显示。 局限性 不能用于检查多孔或疏松材料或者表面粗糙的工件。
评论 7
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值