• 如果您觉得本站非常有看点,那么赶紧使用Ctrl+D 收藏吧

【HTB系列】靶机Irked的渗透测试详解

开发技术 开发技术 5天前 5次浏览

出品|MS08067实验室(www.ms08067.com)

本文作者:大方子(Ms08067实验室核心成员)

【HTB系列】靶机Irked的渗透测试详解

Kali: 10.10.13.32
靶机地址:10.10.10.117

先用nmap扫描下靶机

【HTB系列】靶机Irked的渗透测试详解

靶机开放了 22 80 111 端口

查看下靶机的80端口

【HTB系列】靶机Irked的渗透测试详解

我们用gobuster对网站的目录也进行一次爆破

【HTB系列】靶机Irked的渗透测试详解

访问下/manual,得到apache的文档页面没有可以利用的点

【HTB系列】靶机Irked的渗透测试详解

然后我们在根据页面上的显示”IRC is almost working!”

IRC(Internet Relay Chat的缩写,“因特网中继聊天”)是一种透过网络的即时聊天方式。其主要用于群体聊天,但同样也可以用于个人对个人的聊天。IRC使用的服务器端口有6667(明文传输,如irc://irc.freenode.net)、6697(SSL加密传输,如ircs://irc.freenode.net:6697)等

我们可以看到IRC监听的端口为6697和6667,那么说明我们的nmap探测是不完全的。所以我们对靶机的端口做一次全端口探测

【HTB系列】靶机Irked的渗透测试详解

这里我们看到6697端口是开放,这里我对6697进一步进行探测

【HTB系列】靶机Irked的渗透测试详解

我们搜索下是否存在相关的EXP

【HTB系列】靶机Irked的渗透测试详解

我们尝试用第一个 后门命令执行

【HTB系列】靶机Irked的渗透测试详解

得到shell之后利用python建立一个pty

【HTB系列】靶机Irked的渗透测试详解

然后我们通过find搜索下user.txt

【HTB系列】靶机Irked的渗透测试详解

我们进入/home/djmardov/Documents目录,发现User.txt不能读取,但是还有一个.backup的文件,我们读取下

【HTB系列】靶机Irked的渗透测试详解

它给了我们关于steg[Steganography]的提示,然后我们得到了类似密码的字符串:
UPupDOWNdownLRlrBAbaSSss

关于隐写术的工具资源:
https://0xrick.github.io/lists/stego/

我们之前在网页上看到一个表情,我们把那个表情图片下载回来看看里面是否藏着什么东西
我们用steghide –info来查下图片的是否包含隐藏数据,其中需要你输入刚刚得到的那串密码。

【HTB系列】靶机Irked的渗透测试详解

然后我们提取数据

【HTB系列】靶机Irked的渗透测试详解

得到密码:Kab6h+m+bbp2J:HG

那我们尝试登陆SSH,拿到FLAG

【HTB系列】靶机Irked的渗透测试详解

接下来就是提升ROOT的权限

这里我用LinEnum来检查靶机是否有可以用来提权的点

LinEnum:https://github.com/rebootuser/LinEnum

然后自己的Kali 用 python -m SimpleHTTPServer 开启HTTP服务

然后在靶机上的/dev/shm用wget下载

【HTB系列】靶机Irked的渗透测试详解

然后 bash LinEnum.sh 执行脚本

【HTB系列】靶机Irked的渗透测试详解

在SUID文件中我们发现这个文件的日期是在2018.5.16完成的跟其他文件有所不同它是最新生产的,我们去看看这个文件

【HTB系列】靶机Irked的渗透测试详解

这个文件似乎记录这访问过这个系统的用户,我们看到最后一行,这个程序在调用者/tmp/listusers这个文件

我们先把这个文件复制我们的kali中去调试它
先用把这个二进制文件用base64进行转换,-w0表示不换行输出

base64 -w0 /usr/bin/viewuser

然后将出现的一大堆数据进行复制
然后我们在自己的kali 创建一个名为userview.b64的文件并把刚刚得到的一大堆数据复制到里面去

然后我们在把文件解码输出为一个二进制文件

base64 -d viewuser.b64 > viewuser

【HTB系列】靶机Irked的渗透测试详解

然后我们用lstrace 对这个文件进行调试

ltrace能够跟踪进程的库函数调用,它会显现出哪个库函数被调用

如果自己的kali没有的话就apt-get install -y ltrace 安装

【HTB系列】靶机Irked的渗透测试详解

我们可以看到这个二进制文件到最后会调用/tmp/listusers这个文件。
因为这个vieruser是root权限调用的,那么被调用的/tmp/listusers也将会root权限

那么我们直接编写个/tmp/listusers文件,同时要给它chmod +x

【HTB系列】靶机Irked的渗透测试详解

因为那个vieruser是监控在线登陆的用户的,所以它是不会不断的执行,你可以看到当我们写好这个文件并赋予执行权限的时候 它的拥有者变成了root

【HTB系列】靶机Irked的渗透测试详解

然后我们得到root flag

【HTB系列】靶机Irked的渗透测试详解

*后记,后来我发现我之前就变成了root的权限是因为之前别人做完了实验然没清理我执行了别人的listusers,所以我就被root了,但是get root的思路就是如上

这里我重新做了一次实验,现在是我刚写完listusers文件并加上执行权限

【HTB系列】靶机Irked的渗透测试详解

然后我运行viewusers,这里我们可以看到它调用了我们写的脚本然后我们得到了root shell

【HTB系列】靶机Irked的渗透测试详解



转载请联系作者并注明出处!

Ms08067安全实验室专注于网络安全知识的普及和培训。团队已出版《Web安全攻防:渗透测试实战指南》,《内网安全攻防:渗透测试实战指南》,《Python安全攻防:渗透测试实战指南》,《Java代码安全审计(入门篇)》等书籍。
团队公众号定期分享关于CTF靶场、内网渗透、APT方面技术干货,从零开始、以实战落地为主,致力于做一个实用的干货分享型公众号。
官方网站:https://www.ms08067.com/

扫描下方二维码加入实验室VIP社区
加入后邀请加入内部VIP群,内部微信群永久有效!

【HTB系列】靶机Irked的渗透测试详解【HTB系列】靶机Irked的渗透测试详解【HTB系列】靶机Irked的渗透测试详解

【HTB系列】靶机Irked的渗透测试详解【HTB系列】靶机Irked的渗透测试详解【HTB系列】靶机Irked的渗透测试详解


程序员灯塔
转载请注明原文链接:【HTB系列】靶机Irked的渗透测试详解
喜欢 (0)