Proving Grounds - Clue

Recon

image-20241020182828090

image-20241020182912558

GetShell

打开3000端口：

image-20241020183030327

右上角是一个CQL查询的接口，页面显示版本号为3.11.13，搜索漏洞：

image-20241020183226885

这个版本号不一定是Cassandra的版本号，有可能是那个集群id的版本，所以exploit DB中的文件读取poc可以尝试一下：

image-20241020183622409

目标机器上存在两个用户，cassie与anthony。根据漏洞脚本的提示：

image-20241020183953533

image-20241020184052091

读取/proc/self/cmdline:

image-20241020184535085

没什么效果。搜素8021上的服务指纹，找到一个命令注入：

image-20241020184653024

但是他需要密码：

image-20241020185056891

所以大概思路就是，利用文件读取漏洞却尝试读取密码，最后发现密码文件在：

image-20241020185234136

对RCE利用脚本进行更改：

image-20241020185400958

反弹shell：

image-20241020185746947

发现3000端口才能出站。升级交互式shell：

image-20241020185955133

发现用户ssh密钥：

image-20241020190208623

可以用文件读取漏洞去获取：

image-20241020190308356

这是root用户的密钥：

image-20241020190431530