搜索

[22017] 2021-05-27_记一次域渗透靶场学习过程

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2021-05-27_记一次域渗透靶场学习过程 记 一 次 域 渗 透 靶 场 学 习 过 程 带 头 大 哥   L e m o n S e c   2 0 2 1 - 0 5 - 2 7 0 x 0 1 环 境 准 备 ： 环 境 准 备 ： V u l n S t a c k 7 是 红 日 安 全 团 队 最 近 的 一 个 A T T & C K 靶 场 ， 为 一 个 三 层 靶 场 , 靶 场 地 址 ： 整 体 拓 扑 如 下 。 配 置 过 程 这 里 不 再 赘 述 ， 因 为 本 人 主 机 为 l i n u x 主 机 ， 由 于 路 径 问 题 ， 导 致 d m z 区 域 的 机 器 无 法 正 常 运 行 ， 于 是 直 接 砍 掉 ， 反 正 网 站 为 二 层 的 d o c k e r 环 境 内 ， 不 影 响 总 体 操 作 。 且 为 了 增 加 难 度 ， 在 P C 1 和 P C 2 安 装 了 某 安 全 软 件 ， 于 是 拓 扑 变 成 了 下 面 这 样 ： 记 得 开 启 相 关 服 务 ， 在 各 个 机 器 上 。 0 x 0 2 知 识 点 知 识 点 1 .   信 息 收 集 2 .   L a r a v e l   D e b u g   m o d e   R C E （ C V E - 2 0 2 1 - 3 1 2 9 ） 漏 洞 利 用 3 .   D o c k e r 逃 逸 4 .   L i n u x 环 境 变 量 提 权 5 .   路 由 转 发 与 代 理 6 .   C o b a l t S t r i k e 利 用 7 .   内 网 横 向 8 .   杀 软 绕 过 0 x 0 3 入 口 突 破 入 口 突 破 ; ; ’ 首 先 对 目 标 进 行 端 口 扫 描 ， 获 取 入 口 点 ： h t t p : / / v u l n s t a c k . q i y u a n x u e t a n g . n e t / v u l n / d e t a i l / 9 / n m a p   - T 4   - s C   - s V   1 9 2 . 1 6 8 . 5 2 . 2 0
发 现 开 放 2 2 端 口 与 8 0 0 0 , 访 问 8 0 0 0 , 发 现 是 一 个 L a r a v e l 的 网 站 。 而 这 个 版 本 的 框 架 是 存 在 一 个 r c e 漏 洞 的 ， 即 。 使 用 P O C 测 试 ， 发 现 的 确 可 以 成 功 利 用 使 用 一 键 化 工 具 ， 写 入 一 个 w e b s h e l l 进 去 就 行 啦 ， 蚁 剑 连 接 ： 进 入 终 端 时 发 现 ， 主 机 信 息 处 有 些 特 殊 ： 猜 测 可 能 是 d o c k e r 环 境 ， 一 般 来 说 有 以 下 两 个 方 法 ： 1 .   判 断 根 目 录 下     文 件 2 .   查 询 系 统 进 程 的 信 息 发 现 的 确 为 d o c k e r 环 境 L a r a v e l   < =   v 8 . 4 . 2   d e b u g   m o d e :   R e m o t e   c o d e   e x e c u t i o n   ( C V E - 2 0 2 1 - 3 1 2 9 ) L i n u x   8 e 1 7 2 8 2 0 a c 7 8   4 . 4 . 0 - 1 4 2 - g e n e r i c   # 1 6 8 ~ 1 4 . 0 4 . 1 - U b u n t u   S M P   S a t   J a n   1 9   1 1 : 2 6 : 2 8   U T C   2 0 1 9   x 8 6 _ 6 4 . d o c k e r e n v c g r o u p
0 x 0 4   d o c k e r 逃 逸 逃 逸 下 面 我 们 要 做 的 就 是 d o c k e r 逃 逸 了 ， 不 过 目 前 我 们 仅 仅 是 一 个 w w w 权 限 ， 所 以 来 进 行 提 权 。 看 了 看 版 本 信 息 ， 且 目 标 机 器 存 在 g c c , 此 时 我 们 完 全 可 以 使 用 内 核 提 权 不 过 根 据 靶 机 的 信 息 ， 我 们 这 里 也 使 用 s u i d 的 方 法 进 行 提 权 。 查 找 S U I D 提 权 的 命 令 如 下 ： 发 现 存 在 一 个 s h e l l 程 序 ， 尝 试 运 行 该 文 件 发 现 其 就 是 在 执 行 p s 命 令 而 已 ， 此 时 我 们 可 以 使 用 路 径 劫 持 的 方 法 ， 来 获 取 一 个 高 权 限 的 s h e l l , 首 先 使 用 蚁 剑 反 弹 一 个 s h e l l 回 来 然 后 替 换 环 境 以 获 取 到 了 一 个 r o o t 的 s h e l l . 这 里 可 以 直 接 获 取 一 个 C s 的 s h e l l 回 来 或 者 是 M S 的 s h e l l . 这 里 为 了 方 便 起 见 ， 就 没 有 在 r o o t 的 环 境 下 获 得 会 话 。 下 面 就 是 d o c k e r 逃 逸 了 ， 在 之 前 我 打 类 似 的 靶 机 的 时 候 也 遇 到 d o c k e r 逃 逸 的 情 况 ， 一 般 使 用 漏 洞 进 行 逃 逸 或 者 使 用 特 权 模 式 进 行 逃 逸 ， 我 们 这 里 使 用 特 权 模 式 进 行 逃 逸 。 即 当 控 制 使 用 特 权 模 式 启 动 的 容 器 时 ， d o c k e r 管 理 员 可 通 过 m o u n t 命 令 将 外 部 宿 主 机 磁 盘 设 备 挂 载 进 容 器 内 部 ， 获 取 对 整 个 宿 主 机 的 文 件 读 写 权 限 ， 此 外 还 可 以 通 过 写 入 计 划 任 务 等 方 式 在 宿 主 机 执 行 命 令 。 此 时 查 看 设 备 时 ， 会 发 现 拥 有 很 多 的 设 备 。 f i n d   /   - u s e r   r o o t   - p e r m   - 4 0 0 0   - p r i n t   2 > / d e v / n u l l   f i n d   /   - p e r m   - u = s   - t y p e   f   2 > / d e v / n u l l   f i n d   /   - u s e r   r o o t   - p e r m   - 4 0 0 0   - e x e c   l s   - l d b   { }   ;
然 后 新 建 目 录 并 挂 载 目 录 ： 最 终 我 们 可 以 通 过 访 问 容 器 内 部 的 / a b c 路 径 来 达 到 访 问 整 个 宿 主 机 的 目 的 ： 下 面 就 是 写 文 件 或 者 写 计 划 任 务 上 线 即 可 。 m k d i r   / a b c   m o u n t   / d e v / s d a 1   / a b c l s   / a b c
顺 便 获 得 了 密 码 文 件 的 内 容 。 通 过 查 看 网 卡 信 息 ， 发 现 后 面 的 的 网 段 以 及 本 网 段 , 下 面 就 是 横 向 移 动 了 。 0 x 0 5 内 网 横 向 内 网 横 向 因 为 是 上 线 的 C s 所 以 我 们 很 多 操 作 不 是 很 方 便 操 作 ， 所 以 我 们 先 对 来 进 行 测 试 ， 直 接 一 个 p i n g 获 取 本 网 段 的 存 活 主 机 信 息 ( 可 能 不 是 很 准 确 ) 但 是 毫 无 反 应 ， 没 关 系 ， 我 们 直 接 搞 个 s o c k e t s 代 理 进 去 。 发 现 目 标 网 段 内 具 有 3 0 这 个 主 机 ， 我 们 再 对 其 进 行 信 息 收 集 。 发 现 其 开 放 了 8 0 8 2 端 口 访 问 之 ， 发 现 是 一 个 O A 系 统 下 面 就 好 说 了 ， 拿 s h e l l 就 可 以 了 。 首 先 伪 造 s e s s i o n 登 录 后 台 。 然 后 附 件 添 加 一 个 存 储 1 9 2 . 1 6 8 . 9 3 . 0 1 9 2 . 1 6 8 . 5 2 . 0 1 9 2 . 1 6 8 . 5 2 . 0 f o r   k   i n   $ (   s e q   1   2 5 5 ) ; d o   p i n g   - c   1   1 9 2 . 1 6 8 . 9 9 . $ k | g r e p   " t t l " | a w k   - F   " [   : ] + "   ' { p r i n t   $ 4 } ' ;   d o n e
选 择   组 织 - 管 理 员 - 附 件 上 传 - t x t ， 抓 包 修 改 抓 包 修 改 ， 绕 过 黑 名 单   t x t 修 改 为   p h p . 挂 好 代 理 ， 蚁 剑 成 功 连 接 但 此 时 我 们 是 无 法 执 行 命 令 的 ， 因 为 有 杀 软 的 缘 故 ， 我 们 执 行 命 令 会 被 拦 截 绕 过 方 法 就 是 使 用 自 定 义 终 端 然 后 我 们 就 可 以 执 行 命 令 了 ， 因 为 第 二 个 网 段 是 出 网 的 ， 所 以 直 接 p o w e r s h e l 上 线 即 可
然 后 就 是 提 权 、 抓 密 码 一 条 龙 0 x 0 6 获 取 域 控 获 取 域 控 而 且 因 为 该 机 器 使 用 域 管 理 员 来 启 动 Ｏ Ａ 的 缘 故 ， 机 器 上 也 存 在 域 管 信 息 ， 直 接 拿 到 域 管 密 码 。 通 过 发 现 其 9 3 段 下 面 的 其 他 机 器 发 现 D C 字 样 ， 因 为 我 们 已 经 有 了 域 管 的 密 码 ， 直 接 横 向 过 去 均 失 败 ， 没 关 系 我 们 使 用 来 做 ， 尝 试 关 闭 它 的 防 火 墙 ， 然 后 再 横 向 。 n e t   v i e w n e t   u s e
拿 下 域 控 。 然 后 我 们 继 续 横 向 下 一 台 机 器 ， 因 为 有 火 绒 的 存 在 ， 我 们 没 有 办 法 直 接 横 向 过 去 ， 我 们 选 择 使 用 的 方 法 把 我 们 的 免 杀 马 复 制 过 去 ， 然 后 在 获 取 s e s s i o n 。 至 此 整 个 域 已 经 拿 下 。 导 出 信 息 ， 方 便 以 后 学 习 。 转 载 于 补 天 平 台 （ 白 名 单 ） 一 如 既 往 的 学 习 ， 一 如 既 往 的 整 理 ， 一 如 即 往 的 分 享 。 感 谢 支 持 “ 如 侵 权 请 私 聊 公 众 号 删 文 ” 扫 描 关 注 扫 描 关 注 L e m o n S e c 觉 得 不 错 点 个 觉 得 不 错 点 个 “ 赞 赞 ” 、 、 “ 在 看 在 看 ” 哦 哦 n e t   u s e
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理