HackTheBox | Paper
nmap扫描,开启22、80、443
UDP扫描
访问Web服务
看起来没什么东西,dirsearch扫描一下,也没有东西
在网络包中,看到office.paper
修改本地hosts文件,添加指向office.paper的DNS记录
访问http://office.paper/
,得到如下页面,该站点由wordpress搭建
使用wpscan
扫描,没有发现插件
在主页看到了搜索框,尝试输入,发现为GET
型请求
尝试sqlmap
进行SQL注入,也没有东西
手动信息收集,看看页面有什么内容。发现有几篇博客,其中一篇下面有留言说Michael, you should remove the secret content from your drafts ASAP, as they are not that secure as you think!
,也就是wordpress的草稿站点有问题
当前wordpress版本为5.2.3
,查找是否存在相关漏洞
在https://wpscan.com/vulnerability/9909中看到5.2.3版本存在未授权的页面泄露
访问urlhttp://office.paper/?static=1&order=asc
,得到如下页面
接着访问http://office.paper/?static=1
,来到一个页面,找到一个URLhttp://chat.office.paper/register/8qozr226AhkCHZdyY
修改hosts文件,访问得到的URL,来到如下页面,组件为rocket chat
搜索exp,3.12.1版本存在未授权漏洞,能够通过NoSQL注入进行命令执行,https://www.exploit-db.com/exploits/50108
利用条件中需要有一个低权限的用户邮箱,还得知道管理员的邮箱
在刚才的注册页面注册一个新账号,并登录;登录之后看到一个聊天频道
在这个聊天频道里,有个机器人叫recyclops
;私聊这个机器人,随便发的时候能看到提示信息,发送help
获取使用帮助手册
按照提示,可以获取文件、列文件目录等操作,发送recyclops list sale
,看到目录下有portfolio.txt
当前路径为/home/dwight/sales/
,当前路径有2个文件夹sale
和sales_2
,里面有portfolio.txt
文件,但是好像并没有用
发现可以目录穿越
最终,在/home/dwight/hubot/.env
文件中获取到一组用户名和密码recyclops/Queenofblad3s!23
使用获取到的密码登录dwight
用户,成功
在/etc/passwd
中看到另一个用户rocketchat
在进程中也能够看到这个用户运行了聊天室程序
在前面找到的RocketChat漏洞需要管理员的邮箱账号,所以进行信息收集
在聊天频道的成员中得到负责人的名字是michael
或prisonmike
,对关键词进行搜索,拿到一些邮箱
github.public.email@michael.ficarra.me
michael.hart.au@gmail.com
michael@mikepb.com
michael.schramm@gmail.com
加上前面自己注册的账号,就已经达到了目标条件
利用找到的exp,但是发现需要接收邮件,但是又没法使用真实邮箱
最后还是看了wp,发现直接用的提权漏洞…CVE-2021-3560
既然如此,直接上exp就可以了
linpeas的扫描结果中,有很多提权漏洞,但是试了之后都不行
最后利用脚本https://github.com/Almorabea/Polkit-exploit成功提权