先上fscan扫一遍，发现有heapdump泄露

img

访问/actuator/heapdump下载

用工具分析，得到shirokey

img

直接弹shell

img

img

这里是suid提权，查找这个vim.basic

img

根据gtfobins上查到的进行利用

img

img

再写个ssh公钥进去，方便后面的操作

img

传fscan扫内网，除本机外还有两台机器

img

搭建frp

img

img

可以看到有台机器上面有nacos存在漏洞，这里打snakeyaml

修改AwesomeScriptEngineFactory.java，改为添加一个管理员用户

img

点击生成jar.bat生成恶意jar包

img

将payload上传到刚刚打下来的机器中

img

在/tmp下开启web服务

img

先访问这台服务器

img

nacos/nacos弱口令登录，得到dataid和group

img

用gui加载恶意jar包

img

rdp连接上，得到flag

img

接下来打另一台机器

给bp配一下代理

img

用bp的浏览器访问一下，是一个后台

img

随便输点什么，抓个包

img

用fastjson-exp插件打fastjsonecho拿到flag3

img

img

img

写个ssh公钥进去，方便后续操作

img

可以看到这台机器是多网卡

img

传个fscan上去扫下另一张网卡所在的网段

img

继续搭frp，配置代理链

1
2
3
4
5
6
7
8
9
10
[common]
server_addr = 172.30.12.5
server_port = 7000

[socks_proxy]
type = tcp
remote_port =6000
plugin = socks5
[common]
bindPort = 7000

img

img

img

访问过去是个grafana

img

是CVE-2021-43798，用现成exp打。但是不知道为什么我这里显示的是乱码，好像是exp版本的原因，但是找不到以前的版本了（查了下正确的密码应该是Postgres@123

img

用navicat连接上去

img

修改一下root密码，创建函数并用perl弹shell

img

img

这里可以利用psql进行sudo提权

img

img

起个tty，然后读flag

img

img