Vulnhub靶机Five86-1详细解析

admin 2021年1月16日15:30:50评论193 views字数 3625阅读12分5秒阅读模式
Vulnhub靶机Five86-1详细解析
喜欢就关注我吧,订阅更多最新消息

文章字数1539预计阅读时长7分钟


涉及知识点实操练习-VulnHub渗透测试实战靶场Node 1.0  

https://www.hetianlab.com/expc.do?ec=ECIDdb58-4b9d-427b-b7b3-8382c7e0a7f5&pk_campaign=weixin-wemedia         

Node 1.0 是一个难度为中等的Boot2root/CTF挑战,靶场环境最初由 HackTheBox 创建,实验目的是获取两个flag


靶机地址:http://www.vulnhub.com/entry/five86-1,417/

技术点

  • opennetadmin v18.1.1RCE

    • searchsploit
    • github搜索exp
  • 破解Linux中经过HASH加密的密码

    • crunch生成字典
    • johnhashcat破解密码
    • hash-identifier查看HASH类型
  • SSH免密登陆

    • 公钥复制为authorized_keys
  • Linux查看当前用户权限可读文件和可执行命令

    • 查看当前用户权限可读文件find / -type f -user www-data
    • 可执行命令sudo -l

目标发现

nmap -sP 参数使用 ping 扫描局域网主机,目的地址为 192.168.56.5

Vulnhub靶机Five86-1详细解析

nmap -sS -A -v 192.168.56.5 看一下详细的扫描结果 -sS 是半开放扫描,-A 是进行操作系统指纹和版本检测,-v 输出详细情况

Vulnhub靶机Five86-1详细解析
image-20210110233307631

可以看到开放了 22、80、10000 三个端口,并且 80 端口存在 robots.txt 和路径 /ona

漏洞发现与利用

访问http://192.168.56.5是个空白页面,然后去访问 /ona,可以看到是 opennetadmin 的管理页面,并且版本是 18.1.1

Vulnhub靶机Five86-1详细解析
image-20210110234925936
Vulnhub靶机Five86-1详细解析
image-20210110235509936

v18.1.1opennetadmin是存在RCE漏洞的,在github找个exp打过去就可以,https://github.com/amriunix/ona-rce

Vulnhub靶机Five86-1详细解析
image-20210111000006420

或者是使用 searchsploit ,不过这里有个坑点,就是要对这个bash脚本进行转换格式,否则会报错,使用dos2unix 47691.sh这个命令,而且这里的shell不能转成TTY

Vulnhub靶机Five86-1详细解析
image-20210111000238886
Vulnhub靶机Five86-1详细解析
image-20210111000505227

下面的问题就是如何进行提权了,经过一番测试,发现这里无法执行的命令是没有回显的,并且不能执行cd命令,但是可以使用lscat命令

Vulnhub靶机Five86-1详细解析
image-20210111001159331
Vulnhub靶机Five86-1详细解析
image-20210111001246590

这里肯定是有权限控制的,可以使用find / -type f -user www-data命令查看这个用户可以读取的文件,除了/proc 就是/var/www/html/reports/.htaccess/var/log/ona.log

Vulnhub靶机Five86-1详细解析
image-20210111001014915

读取var/www/html/reports/.htaccess可以找到AuthUserFile的路径/var/www/.htpasswd

Vulnhub靶机Five86-1详细解析
image-20210111001712462

读取这个文件如下,可以得到用户名douglas和HASH的密码$apr1$9fgG/hiM$BtsL9qpNHUlylaLxk81qY1,给的提示是只包含aefhrt的十个字符

Vulnhub靶机Five86-1详细解析
image-20210111002020236
douglas:$apr1$9fgG/hiM$BtsL9qpNHUlylaLxk81qY1

# To make things slightly less painful (a standard dictionary will likely fail),
# use the following character set for this 10 character password: aefhrt 

先用hash-identifier看一下是哪个HASH,结果 hash -type : [+] MD5(APR)

Vulnhub靶机Five86-1详细解析
image-20210111002610462

然后使用crunch生成对应的字典,命令格式crunch <min-len> <max-len> [charset string] [options],这里生成只包含aefhrt的10个字符,就可以使用如下命令crunch 10 10 aefhrt -o pass.txt,更多的介绍可以看Linux下的字典生成工具Crunch和crunch命令详解

Vulnhub靶机Five86-1详细解析
image-20210111003458350

最后就要用大名鼎鼎的hashcat去破解这个HASH,命令格式hashcat [options]... hash|hashfile|hccapxfile [dictionary|mask|directory]...,这里使用的命令为hashcat -m 1600 -a 0 -o res hash.txt pass.txt

-m是HASH类别,-a是攻击方式,-o是输出结果,更多的参数可以参考Hashcat密码破解攻略。这里在kali里面运行一直报错,就转移到wsl2里面了,命令hashcat -m 1600 -a 0 -o res hash.txt pass.txt --force

Vulnhub靶机Five86-1详细解析
image-20210111213409125
Vulnhub靶机Five86-1详细解析
image-20210111213624969

最终密码为 fatherrrrr

或者这里也可以使用john来进行破解john --wordlist=pass.txt hash.txt,但是速度可能有丶问题

Vulnhub靶机Five86-1详细解析
image-20210111220754542

使用ssh连接ssh [email protected]

Vulnhub靶机Five86-1详细解析
image-20210111010646094

这里是个TTY,但还是存在权限控制,使用sudo -l看一下可以使用什么命令,结果是(jen) NOPASSWD: /bin/cp,这里就有点奇怪了,douglas可以用jen的身份运行cp命令

Vulnhub靶机Five86-1详细解析
image-20210111010947213

先去访问一下home目录,发现douglasjen这两个用户,但是只能用jencp命令,且没有jen的密码

Vulnhub靶机Five86-1详细解析
image-20210111011436573

值得注意的是,如果jen用户下的/home/jen/.ssh/authorized_keys包含douglas的公钥,那就可以用douglasid_rsa文件登陆jen的ssh,也即免密登陆jen的ssh。这里复制到/tmp目录下是因为jen没有权限访问douglas目录下的文件

cp .ssh/id_rsa.pub /tmp/authorized_keys
chmod 777 /tmp/authorized_keys 
sudo -u jen /bin/cp /tmp/authorized_keys /home/jen/.ssh/

Vulnhub靶机Five86-1详细解析
image-20210111014200082

然后用ssh连接ssh -i id_rsa [email protected]

Vulnhub靶机Five86-1详细解析
image-20210111014442540

成功登陆jen,看到提示mail,还是先执行echo $(find / -type f -user jen) > 1.txt 看一下,有一个/var/mail/jen的文件可以读取

Vulnhub靶机Five86-1详细解析
image-20210111014759768

或者这里直接输入mail的命令也可以看到

Vulnhub靶机Five86-1详细解析
image-20210111015110156

读取一下,其内容如下

Vulnhub靶机Five86-1详细解析
image-20210111014908700

关键词:change Moss's passwordhis password is now Fire!Fire!

接着ssh连接moss用户ssh [email protected]

Vulnhub靶机Five86-1详细解析
image-20210111015350428

在当前目录发现了一个隐藏目录.games,访问后发现一个root权限的二进制文件upyourgame

Vulnhub靶机Five86-1详细解析
image-20210111015852402

运行之后就发现自己神奇的变成root用户辣

Vulnhub靶机Five86-1详细解析
image-20210111020013886

最后,flag在/root中,为8f3b38dd95eccf600593da4522251746

Vulnhub靶机Five86-1详细解析
image-20210111020132080

彩蛋时刻,其实在拿到douglas的密码之后就可以用虚拟机登陆,然后操作,这里是用的moss的账号密码,也是同样的效果

Vulnhub靶机Five86-1详细解析
image-20210111020648136

1/15

欢迎投稿至邮箱:[email protected]

有才能的你快来投稿吧!

Vulnhub靶机Five86-1详细解析
快戳“阅读原文”做靶场练习

本文始发于微信公众号(合天智汇):Vulnhub靶机Five86-1详细解析

  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2021年1月16日15:30:50
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                   Vulnhub靶机Five86-1详细解析https://cn-sec.com/archives/243111.html

发表评论

匿名网友 填写信息