HTB靶场记录之OpenAdmin
本文是 i 春秋论坛作家「皮卡皮卡丘」表哥分享的技术文章,旨在为大家提供更多的学习方法与技能技巧,文章仅供学习参考。
HTB是一个靶机平台,里面包含多种系统类型的靶机,并且很多靶机非常贴近实战情景,是一个学习渗透测试不错的靶场。
1、靶机介绍
这次的靶机是OpenAdmin,难点在于信息收集。
2、探测靶机
首先使用nmap进行端口探测,这次只开了22和80端口。
命令:nmap -A -sS -sV -v -p- 10.10.10.171
输入IP进浏览器是一个典型的Apache界面。
3、目录挖掘收集信息
由于是一个典型的Apache页面,没有过多的信息只能先启用dirbuster,这里我提前弄好了,有2个目录和一个ona。
分别跟进一下,music是一个听歌网站无任何信息可利用。
![HTB靶场记录之OpenAdmin](https://p5.toutiaoimg.com/origin/pgc-image/1c42ef566f5e43018d6786a32727d3d5.png?from=pc)
artwork同理
当跟进到ona时,这好像在five86-1里面见过。
4、获取shell
提取页面的关键字直接在kali使用,searchsploit OpenNetAdmin以及根据版本号18.1.1,可以发现一个现成的MSFpayload和一个.sh脚本,这里用脚本是因为MSF运行不了。
有点奇怪的是kali自带的.sh脚本无法直接运行,需要把原脚本复制到一个新脚本里面就可以了。
使用方法比较简单,输入对应的IP和登录界面就能获取shell。
命令:./6.sh
http://10.10.10.171/ona/login.php
5、更换shell
虽然已得到shell,但目前是最底层的shell,需要换一个稍微高级点的。
突围方法就是wget,跟AI WEB靶机一样,我们目前拥有的权限是可以给网站添加一个PHP的文件,利用wget把反弹shell传上去,然后前端访问更换shell。
这里把反弹shell更名为1.php,然后利用python共享模式传上去。
前端访问1.php,提前开启nc成功更换shell,当然还是www-data权限。
6、信息挖掘
由于目前还是www-data,我们的目标是变成/home目录下的jimmy,或者是joana,这里到
/opt/ona/www/local/config/下,发现有个数据库设置文件用cat以后找到了密码。
尝试了一波,最后这个密码是jimmy的。
然而/home/jimmy下没有东西,user的flag可能藏在joana目录下,只能继续挖掘。
这里到/var/www目录下,发现一个Internal独属jimmy,果断跟进。
跟进以后主要有3个文件,当然还是看mian.php,其它两个只是基础设置-。main.php里面有一个shell_exec,里面暗藏joana的SSH密钥,同时Ninja可能是密钥密码。
然而虽然知道有密钥藏在那里,新的问题是得找到能运行的方法,才能把密钥拿到,只能再次挖掘,在
/etc/apache2/site-available找到一个internal.conf打开有提示监听本地52846端口。
同时还说了借助joanna用户一波。
可以尝试用curl执行,一开始头铁直接curl 127.0.0.1:52846结果根本没有返回东西。
想到main.php的output语句是不是对着main.php输出就会爆出SSH密钥呢?
然而新的难题又出现了,把密钥复制下来给予权限600后,发现密钥密码又不对。
7、利用John破解SSH密钥密码
这里在网上查了下万能的John也可以破解SSH密码
开个Hydra直接爆破joanna的密码
![HTB靶场记录之OpenAdmin](https://p5.toutiaoimg.com/origin/pgc-image/91638b2cd0904992976d82812c27b267.png?from=pc)
最后爆出密码为bloodninjas登录拿到flag。
8、简单的提权
先使用sudo -l,发现有nano和priv,一开始我以为是分开的,然而是连在一起使用的。
![HTB靶场记录之OpenAdmin](https://p5.toutiaoimg.com/origin/pgc-image/558d0f302c77436db044b7ef22e83b24.png?from=pc)
直接
sudo/usr/bin/nano/opt/priv会进入nano编辑器模式,同时ctrl+R是读取文件,直接对着/root/root.txt就能读取flag了。
![HTB靶场记录之OpenAdmin](https://p5.toutiaoimg.com/origin/pgc-image/7a6be569293a4915baaa4cf2828d897d.png?from=pc)
以上为今天分享的内容,小伙伴们看懂了吗?