搜索

[26831] 2019-06-10_【HTB系列】靶机Irked的渗透测试详解

文档创建者：s7ckTeam
浏览次数：11
最后更新：2025-01-19
2019-06-10_【HTB系列】靶机Irked的渗透测试详解 【 H T B 系 列 】 靶 机 I r k e d 的 渗 透 测 试 详 解 原 创   徐 哥   M s 0 8 0 6 7 安 全 实 验 室   2 0 1 9 - 0 6 - 1 0 收 录 于 话 题   # 靶 场 系 列 文 章   , 2 3 个 本 文 作 者 ： 是 大 方 子 （ M s 0 8 0 6 7 实 验 室 核 心 成 员 ） K a l i :   1 0 . 1 0 . 1 3 . 3 2 靶 机 地 址 ： 1 0 . 1 0 . 1 0 . 1 1 7   先 用 n m a p 扫 描 下 靶 机
靶 机 开 放 了   2 2   8 0   1 1 1   端 口   查 看 下 靶 机 的 8 0 端 口
我 们 用 g o b u s t e r 对 网 站 的 目 录 也 进 行 一 次 爆 破 访 问 下 / m a n u a l ， 得 到 a p a c h e 的 文 档 页 面 没 有 可 以 利 用 的 点 然 后 我 们 在 根 据 页 面 上 的 显 示 ” I R C   i s   a l m o s t   w o r k i n g ! ”   I R C （ I n t e r n e t   R e l a y   C h a t 的 缩 写 ， “ 因 特 网 中 继 聊 天 ” ） 是 一 种 透 过 网 络 的 即 时 聊 天 方 式 。 其 主 要 用 于 群 体 聊 天 ， 但 同 样 也 可 以 用 于 个 人 对 个 人 的 聊 天 。 I R C 使 用 的 服 务 器 端 口 有 6 6 6 7 （ 明 文 传 输 ， 如 i r c : / / i r c . f r e e n o d e . n e t ） 、 6 6 9 7 （ S S L 加 密 传 输 ， 如 i r c s : / / i r c . f r e e n o d e . n e t : 6 6 9 7 ） 等   我 们 可 以 看 到 I R C 监 听 的 端 口 为 6 6 9 7 和 6 6 6 7 ， 那 么 说 明 我 们 的 n m a p 探 测 是 不 完 全 的 。 所 以 我 们 对 靶 机 的 端 口 做 一 次 全 端 口 探 测
这 里 我 们 看 到 6 6 9 7 端 口 是 开 放 ， 这 里 我 对 6 6 9 7 进 一 步 进 行 探 测 我 们 搜 索 下 是 否 存 在 相 关 的 E X P 我 们 尝 试 用 第 一 个   后 门 命 令 执 行
得 到 s h e l l 之 后 利 用 p y t h o n 建 立 一 个 p t y 然 后 我 们 通 过 f i n d 搜 索 下 u s e r . t x t 我 们 进 入 / h o m e / d j m a r d o v / D o c u m e n t s 目 录 ， 发 现 U s e r . t x t 不 能 读 取 ， 但 是 还 有 一 个 . b a c k u p 的 文 件 ， 我 们 读 取 下
它 给 了 我 们 关 于 s t e g [ S t e g a n o g r a p h y ] 的 提 示 ， 然 后 我 们 得 到 了 类 似 密 码 的 字 符 串 ： U P u p D O W N d o w n L R l r B A b a S S s s   关 于 隐 写 术 的 工 具 资 源 :   h t t p s : / / 0 x r i c k . g i t h u b . i o / l i s t s / s t e g o /   我 们 之 前 在 网 页 上 看 到 一 个 表 情 ， 我 们 把 那 个 表 情 图 片 下 载 回 来 看 看 里 面 是 否 藏 着 什 么 东 西 我 们 用 s t e g h i d e   - - i n f o 来 查 下 图 片 的 是 否 包 含 隐 藏 数 据 ， 其 中 需 要 你 输 入 刚 刚 得 到 的 那 串 密 码 。 然 后 我 们 提 取 数 据 得 到 密 码 ： K a b 6 h + m + b b p 2 J : H G   那 我 们 尝 试 登 陆 S S H ， 拿 到 F L A G
接 下 来 就 是 提 升 R O O T 的 权 限   这 里 我 用 L i n E n u m 来 检 查 靶 机 是 否 有 可 以 用 来 提 权 的 点   L i n E n u m ： h t t p s : / / g i t h u b . c o m / r e b o o t u s e r / L i n E n u m   然 后 自 己 的 K a l i   用   p y t h o n   - m   S i m p l e H T T P S e r v e r   开 启 H T T P 服 务   然 后 在 靶 机 上 的 / d e v / s h m 用 w g e t 下 载 然 后   b a s h   L i n E n u m . s h       执 行 脚 本
在 S U I D 文 件 中 我 们 发 现 这 个 文 件 的 日 期 是 在 2 0 1 8 . 5 . 1 6 完 成 的 跟 其 他 文 件 有 所 不 同 它 是 最 新 生 产 的 ， 我 们 去 看 看 这 个 文 件 这 个 文 件 似 乎 记 录 这 访 问 过 这 个 系 统 的 用 户 ， 我 们 看 到 最 后 一 行 ， 这 个 程 序 在 调 用 者 / t m p / l i s t u s e r s 这 个 文 件   我 们 先 把 这 个 文 件 复 制 我 们 的 k a l i 中 去 调 试 它 先 用 把 这 个 二 进 制 文 件 用 b a s e 6 4 进 行 转 换 ， - w 0 表 示 不 换 行 输 出 b a s e 6 4   - w 0   / u s r / b i n / v i e w u s e r 然 后 将 出 现 的 一 大 堆 数 据 进 行 复 制 然 后 我 们 在 自 己 的 k a l i   创 建 一 个 名 为 u s e r v i e w . b 6 4 的 文 件 并 把 刚 刚 得 到 的 一 大 堆 数 据 复 制 到 里 面 去     然 后 我 们 在 把 文 件 解 码 输 出 为 一 个 二 进 制 文 件 b a s e 6 4   - d   v i e w u s e r . b 6 4   >   v i e w u s e r
然 后 我 们 用 l s t r a c e   对 这 个 文 件 进 行 调 试   l t r a c e 能 够 跟 踪 进 程 的 库 函 数 调 用 , 它 会 显 现 出 哪 个 库 函 数 被 调 用   如 果 自 己 的 k a l i 没 有 的 话 就 a p t - g e t   i n s t a l l   - y   l t r a c e   安 装 下 我 们 可 以 看 到 这 个 二 进 制 文 件 到 最 后 会 调 用 / t m p / l i s t u s e r s 这 个 文 件 。 因 为 这 个 v i e r u s e r 是 r o o t 权 限 调 用 的 ， 那 么 被 调 用 的 / t m p / l i s t u s e r s 也 将 会 r o o t 权 限   那 么 我 们 直 接 编 写 个 / t m p / l i s t u s e r s 文 件 ， 同 时 要 给 它 c h m o d   + x 因 为 那 个 v i e r u s e r 是 监 控 在 线 登 陆 的 用 户 的 ， 所 以 它 是 不 会 不 断 的 执 行 ， 你 可 以 看 到 当 我 们 写 好 这 个 文 件 并 赋 予 执 行 权 限 的 时 候   它 的 拥 有 者 变 成 了 r o o t
然 后 我 们 得 到 r o o t   f l a g * 后 记 ， 后 来 我 发 现 我 之 前 就 变 成 了 r o o t 的 权 限 是 因 为 之 前 别 人 做 完 了 实 验 然 没 清 理 我 执 行 了 别 人 的 l i s t u s e r s ， 所 以 我 就 被 r o o t 了 ， 但 是 g e t   r o o t 的 思 路 就 是 如 上   这 里 我 重 新 做 了 一 次 实 验 ， 现 在 是 我 刚 写 完 l i s t u s e r s 文 件 并 加 上 执 行 权 限 然 后 我 运 行 v i e w u s e r s ， 这 里 我 们 可 以 看 到 它 调 用 了 我 们 写 的 脚 本 然 后 我 们 得 到 了 r o o t   s h e l l
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理