189 8069 5689
这篇文章将为大家详细讲解有关如何在Virtualbox中练习10 x86漏洞的配置修补与利用，文章内容质量较高，因此小编分享给大家做个参考，希望大家阅读完这篇文章后对相关知识有一定的了解。
专注于为中小企业提供网站设计、网站制作服务,电脑端+手机端+微信端的三站合一,更高效的管理,为中小企业肃北免费做网站提供优质的服务。我们立足成都，凝聚了一批互联网行业人才，有力地推动了上1000家企业的稳健成长，帮助中小企业通过网站建设实现规模扩充和转变。
你将学习到如何在Virtualbox中练习Solaris 10 x86漏洞的配置修补与利用。其实对于多年来从事信息安全的我来说这是件及其无聊的事，而如果你是位UNIX的系统管理员则更是如此。
过去，你很难掌握所有的架构。因为在当时硬件非常难得，并且价格也非常昂贵。如今，随着虚拟化技术（Qemu，VirtualBox，VMWare，AlphaVM，simh）的普及，这一切都开始变得容易。
Solaris是Sun Microsystems研发的计算机操作系统。Solaris 10已于2018年1月份正式停止更新。
我们将使用x86端口，在Linux x86_64（（我使用的是Mint 19.1））上的Oracle VirtualBox中运行它的x86_64版本。
下面，让我们开始在Linux上的VirtualBox中安装Solaris 10 - 以下是我们将要用到的（假设我们已对Linux发行版做了一些基本的设置）
Linux x86_64 (Linux Mint 19.1)
VirtualBox (6.0.10 – https://www.virtualbox.org/wiki/Linux_Downloads )
Solaris 10 x86 ( ftp://ftp.deu.edu.tr/pub/Solaris/iso/Solaris-10,8_11/sol-10-u10-ga2-x86-dvd.iso)
Solaris 10 x86 Oct-2017-CPU (ftp://ftp.deu.edu.tr/pub/Solaris/patch/x86/10_x86_Recommended.zip )
networking.sh (用于设置网络适配器仅主机模式的自定义脚本)
networking.sh #Setup tap and bridge tunctl -t tap0 -u user ifconfig tap0 up brctl addbr br0 brctl setfd br0 0 #ifconfig eth0 10.0.2.1 up ifconfig br0 10.0.2.2 netmask 255.255.255.0 broadcast 10.0.2.255 up brctl addif br0 tap0 vboxnet0 ifconfig tap0 0.0.0.0 sysctl net.ipv4.ip_forward=1 #iptables -A FORWARD --in-interface eth0 -j ACCEPT iptables --table nat -A POSTROUTING --out-interface wlan0 -j MASQUERADE
请确保你已安装uml-utilities和bridge-util软件包，并使其正常工作。（注意：这里被注释的eth0条目 - 这仅在你希望将模拟仿真网络连接到物理网络，并使其可用于其他设备时启用）
# apt-get install uml-utilities bridge-utils
此外，这里还有一个关于vboxnet0接口的重要说明，只有在virtualbox启动之后才能在我的系统上使用。因此，在重启并运行networking.sh脚本后务必牢记这点。
现在，让我们开始吧！在VirtualBox中安装Solaris 10非常简单。我们将使用virtualbox中提供的Oracle Solaris 10 10/09和更高版本（64位）模板创建新的虚拟机。对于网络，我们将使用Host-only-Adapter和vboxnet0。对于磁盘，我们将分配不少于30 GB的存储空间（由于/usr/pkgsrc的原因）。
我们将使用ZFS文件系统，因此选择具有ZFS内核支持的Grub条目。以下是我将用于Solaris10 VM的网络配置。
并遵循以下DNS条目（如果你有自己的DNS，也可以使用你自己的DNS）
我们将安装Solaris 10 DVD ISO中的所有内容，设置root密码等。一旦安装程序完成关闭系统，从VM中删除Solaris 10 DVD ISO并引导新磁盘。在控制台中等待一段时间（尚未登录），等待X11出现。我喜欢CDE，所以我将默认桌面切换为了CDE
以root身份登录后不要注册Oracle（我们不需要这么做，因为我们有pkgsrc bootstrap。
接下来，我们下载适用于Solaris10 x86_64的2017年10月CPU补丁并安装它（这是Oracle的最后一个Solaris10 CPU，除非有扩展支持..）
在我们的Linux主机上执行以下操作
$ mkdir -p SOL10/patch $ cd SOL10/patch $ wget ftp://ftp.deu.edu.tr/pub/Solaris/patch/x86/10_x86_Recommended.zip $ unzip 10_x86_Recommended.zip $ mkisofs -iso-level 3 -J -joliet-long -rock -input-charset utf-8 -o patch.iso 10_x86_Recommended/
接下来，我们将这个新的patch.iso添加到我们的VirtualBox CDROM，并重启到单用户模式（对于Solaris上的CPU修补，这是一个好主意）
实际上，当我从CDE dtterm运行时，就是这样进入单用户模式的。
# shutdown -g 0
在Solaris10中进入单用户模式后，使用Oct2017 CPU安装ISO
# mount -r -F hsfs /dev/dsk/c0t1d0s0/ /cdrom/cdrom # cd /cdrom/cdrom
现在，我们将运行补丁集
# ./installpatchset --s10patchset
你现在可以去泡杯咖啡或茶放松下，因为这可能需要你等待一段时间。修补过程完成后，重启即可。
我们来检查下内核版本，看看是否应用了补丁。可以看到，我们当前运行的是2017年10月的内核。两年前曾有披露过两款NSA开发的专门用于攻击Solaris系统的工具“EXTREMEPARR”和“EBBISLAND”。 登录用户使用这两款工具可以提升到Root权限，并通过网络远程获取Root访问权限。这两款工具对x86和Sparc上运行的Solaris版本6至版本10奏效，版本11也未能幸免。 exploit代码可以在此处获取。CDE本地提权exploit，我们将在稍后讨论。
# uname -a SunOS solaris10 5.10 Generic_150401-55 i86pc i386 i86pc
现在，让我们仔细检查一下是否已安装了GCC编译器，如果没有安装那么请安装它。再次在VirtualBox中安装Solaris 10 installation DVD iso，Solaris将在OS中自动安装ISO。
# cd /cdrom/sol_10_811_x86/Solaris_10/Product # pkgadd -d . SUNWgcc (answer y)
我们来验证安装，可以看到有一个正常工作的GCC编译器（版本为3.4.3）
# /usr/sfw/bin/gcc -v
现在，我们应该要为pkgsrc bootstrap做准备了。让我们先下载Q2-2019稳定快照。
# cd /usr # ftp ftp.netbsd.org (login as anonymous or ftp) ftp> pass ftp> cd pub/pkgsrc/pkgsrc-2019Q2 ftp> get pgsrc.tar.gz ftp> quit # gunzip pkgsrc.tar.gz # tar -xvf pkgsrc.tar # rm pkgsrc.tar
一旦提取了tarball，我们就可以相应地设置bootstrap环境了
https://wiki.netbsd.org/pkgsrc/how_to_use_pkgsrc_on_solaris/
不要在Solaris中使用附带的bash shell运行bootstrap，请使用默认的sh！
# cd /usr/pkgrc/bootstrap # env CFLAGS=-O2 CC=/usr/sfw/bin/gcc ./bootstrap
如果一切顺利，我们应该会看到一个成功状态的提示（在Core i5 Panasonic CF-53上花了大约5分钟的时间）。
在构建任何内容之前，我们需要在/usr/pkg/etc/mk.conf中设置一些选项
CC= /usr/sfw/bin/gcc !! (this is needed to get newer GCC compiled, we will change it later) X11_TYPE= modular PKG_DEVELOPER=yes PKG_DEFAULT_OPTONS+=freetype truetype mmx subpixel official-mozilla-branding FETCH_USING=fetch
另外，在开始编译GCC6之前，我们还需要准备一些其他的东西…
现在我们可以使用本地bash
# bash
让我们为shell设置额外的二进制文件路径（稍后你可以将其添加到你的配置文件中）
# export PATH=/usr/sbin:/usr/bin:/usr/dt/bin:/usr/ucb:/usr/ccs/bin:/usr/sfw/bin
清除摘要工作目录并安装它
# cd /usr/pkgsrc/pkgtools/digest # rm -rf .work # /usr/pkg/bin/bmake install clean clean-depends
如果在mk.conf中使用PKG_DEVELOPER = yes进行编译，那么首先构建perl，因为在包创建过程中会出现错误“perl interpreter for Trace.pm not existing”，因此对于perl，我们将在/usr/pkg/etc/mk.conf中将其更改为no as -> PKG_DEVELOPER=no。
# cd /usr/pkgsrc/lang/perl5 # /usr/pkg/bin/bmake install clean clean-depends
perl构建完成后，我们就可以在mk.conf中将其设置回PKG_DEVELOPER = yes并继续构建。
现在我们终于转到了GCC 6！
# cd /usr/pkgsrc/lang/gcc6 # /usr/pkg/bin/bmake install clean clean-depends
一旦我们编译了GCC6，就必须设置/usr/pkg/etc/mk.conf来使用新的CC和CXX变量，如下所示：
CC= /usr/pkg/gcc6/bin/gcc CXX= /usr/pkg/gcc6/bin/g++
p.s 我将保持这部分开放，并在Solaris10上构建pkgsrc软件包时添加其他注释，你可以在此处查看更多详细信息。
现在我们将/usr/pkg/bin:/usr/pkg/sbin/usr/pkg/gcc6/bin/添加到我们的path中，因为我们有了一个新的工作编译器。
# export PATH=/usr/sbin:/usr/bin:/usr/dt/bin:/usr/ccs/bin:/usr/pkg/bin:/usr/pkg/sbin:/usr/pkg/gcc6/bin # ln -s /usr/ccs/bin/ar /usr/bin/ar # ln -s /usr/ccs/bin/ranlib /usr/bin/ranlib
INFOSEC部分 - 在Solaris上测试一些0days！CVE-2019-2832
我们可以使用最新的GCC6或旧版本GCC3，它们都可以正常工作。在本例中我使用的是本机的gcc 3.4.3，对于那些想要跳过gcc6编译步骤的人来说（需要花费很多时间）
我们现在将创建标准用户并设置密码
# useradd -m -d /export/home/user user -s /usr/bin/bash # passwd user
并定义一些新的.profile变量，以便我们可以使用/usr/pkg，以user身份登录（或 # su – user）
一旦我们以user身份登录，就可以下载并构建Raptor的https://twitter.com/0xdea dtprintinfo exploit。在Linux主机上你可以从这里下载exploit代码：https://raw.githubusercontent.com/0xdea/exploits/master/solaris/raptor_dtprintname_intel.c，并通过FTP上传到Solaris 10 VM
$ wget https://raw.githubusercontent.com/0xdea/exploits/master/solaris/raptor_dtprintname_intel.c $ ftp 10.0.2.12 user Name (10.0.2.12:user): user 331 Password required for user. Password: ftp> put raptor_dtprintname_intel.c
在Solaris 10 VM上，我们在DT会话中编译用户下的代码并运行。
$ /usr/sfw/bin/gcc raptor_dtprintname_intel.c -o raptor_dtprintname_intel -Wall $ ./raptor_dtprintinfo_intel 10.0.2.12:0
但是出现一个错误，即Xlib连接到10.0.2.12:0.0被服务器拒绝（安装后的默认行为）所以让我们允许所有与X的通信连接，以root用户身份运行以授权/禁用远程主机的X11连接
# xhost + (this is to allow all to connect to X11; not a good idea) # xhost - (forbid all who are not authorized) # xhost +10.0.2.12 (in our case this would be better, so only trusted hosts can connect to X11)
我们再次运行exploit代码，这次可以正常运行：）
因此，现在我们可以从被利用的root shell修复上述的CDE提权问题，即使我们没有来自Oracle的官方补丁（如果你很幸运并且可以访问Oracle的扩展用户支持，那么你可以像我们之前一样应用July-2019-CPU补丁）。
所需要的只是从/usr/dt/bin/dtprintinfo二进制文件中删除(S)etuid位。
# chmod -s /usr/dt/bin/dtprintinfo
这一次显然exploit已不起作用了，因为它已进行了修补
关于如何在Virtualbox中练习10 x86漏洞的配置修补与利用就分享到这里了，希望以上内容可以对大家有一定的帮助，可以学到更多知识。如果觉得文章不错，可以把它分享出去让更多的人看到。