intense靶场-获取User权限

最新推荐文章于 2024-05-18 16:19:00 发布

Ms08067安全实验室

最新推荐文章于 2024-05-18 16:19:00 发布

阅读量749

点赞数

文章标签： python 安全信息安全 jwt lambda

本文链接：https://blog.csdn.net/shuteer_xu/article/details/112386686

版权

本文详细介绍了如何攻破HTB靶场中的Intense，涉及Python源码审计、SQL注入、SNMP探测以及利用源码分析获取admin权限，并通过文件读取漏洞获取user.txt。主要步骤包括信息收集、业务应用分析、源码分析、admin权限获取及任意文件读取的实现。

摘要由CSDN通过智能技术生成

本文作者：jokelove（Ms08067内网安全小组成员）

Intense是HTB中一个难度中上的靶场，需要参与者具备下述能力：

1. Python源码审计

2. SQL注入原理

3. SNMP远程命令执行

4. 栈溢出与ROP

开启Intense靶场环境之后，目标IP：10.10.10.195

原文链接: https://0xdf.gitlab.io/2020/11/14/htb-intense.html

参考链接: https://www.romanh.de/writeup/htb-intense

0x01 信息收集

发现TCP端口开放情况

root@kali# nmap -p- --min-rate 10000 -oA scans/nmap-alltcp 10.10.10.195
Starting Nmap 7.80 ( https://nmap.org ) at 2020-07-05 14:58 EDT
Nmap scan report for 10.10.10.195
Host is up (0.36s latency).
Not shown: 65533 filtered ports
PORT STATE SERVICE
22/tcp open ssh
80/tcp open http

2. 对开放端口进行进一步识别

root@kali# nmap -p 22,80 -sC -sV -oA scans/nmap-tcpscripts 10.10.10.195
Starting Nmap 7.80 ( https://nmap.org ) at 2020-07-05 14:59 EDT
Nmap scan report for 10.10.10.195
Host is up (0.095s latency).
PORT STATE SERVICE VERSION
22/tcp open ssh OpenSSH 7.6p1 Ubuntu 4ubuntu0.3 (Ubuntu Linux; protocol 2.0)
| ssh-hostkey:
| 2048 b4:7b:bd:c0:96:9a:c3:d0:77:80:c8:87:c6:2e:a2:2f (RSA)
| 256 44:cb:fe:20:bb:8d:34:f2:61:28:9b:e8:c7:e9:7b:5e (ECDSA)
|_ 256 28:23:8c:e2:da:54:ed:cb:82:34:a1:e3:b2:2d:04:ed (ED25519)
80/tcp open http nginx 1.14.0 (Ubuntu)
|_http-server-header: nginx/1.14.0 (Ubuntu)
|_http-title: Intense - WebApp
Service Info: OS: Linux; CPE: cpe:/o:linux:linux_kernel
Service detection performed. Please report any incorrect results at
https://nmap.org/submit/ .
Nmap done: 1 IP address (1 host up) scanned in 11.84 seconds

3. 对UDP端口进行识别

root@kali# nmap -sU -p- --min-rate 10000 -oA scans/nmap-alludp 10.10.10.195
Starting Nmap 7.80 ( https://nmap.org ) at 2020-07-08 15:33 EDT
Nmap scan report for 10.10.10.195
Host is up (0.013s latency).
Not shown: 65534 open|filtered ports
PORT STATE SERVICE
161/udp open snmp
Nmap done: 1 IP address (1 host up) scanned in 13.47 seconds

这里发现SNMP端口开放，可以尝试使用snmpwalk来探测是否存在敏感信息

4. 使用SNMP进行探测

root@kali# snmpwalk -v 2c -c public 10.10.10.195
SNMPv2-MIB::sysDescr.0 = STRING: Linux intense 4.15.0-55-generic #60-Ubuntu SMP
Tue Jul 2 18:22:20 UTC 2019 x86_64
SNMPv2-MIB::sysObjectID.0 = OID: NET-SNMP-MIB::netSnmpAgentOIDs.10
DISMAN-EVENT-MIB::sysUpTimeInstance = Timeticks: (18407) 0:03:04.07
SNMPv2-MIB::sysContact.0 = STRING: MeSNMPv2-MIB::sysName.0 = STRING: intense
# 省略部分信息 ..
HOST-RESOURCES-MIB::hrSystemMaxProcesses.0 = No more variables left in this MIB
View (It is past the end of the MIB tree)

snmpwalk没有获取到任何有用的敏感信息

利用上述过程，将信息进行总结：

目标IP	10.10.10.195
开放端口	80/http 21/ssh 161/snmp
操作系统	Ubuntu Bionic 18.04
WEB应用	Nginx/1.14.0
SSH版本	OpenSSH 7.6p1

通过Vulmon可以进一步对信息进行完善：

Vulmon 是一个漏洞检索引擎，可以通过应用版本查询相关漏洞情况

版本号	漏洞情况	漏洞说明
Ubuntu Bionic 18.04	CVE-2018-13405	https://vulmon.com/vulnerabilitydetails?qid=CVE-2
Nginx/1.14.0	CVE-2020-5505	https://vulmon.com/vulnerabilitydetails?qid=CVE-2020-5505&scoretype=cvssv2
OpenSSH 7.6p1