HTB hackthebox Pilgrimage Writeup靶机pilgrimage渗透测试

HTB一个叫做“朝圣者”的靶机

靶机ip:10.10.11.219

kali tun0:10.10.16.63

 ping一下是通的，然后nmap起

 

• -sV:探测开放的端口的系统/服务信息

• -sC：默认脚本

发现有git资源，可能会存在可利用点

访问网站前添加hosts

访问网站时有一个上传文件的功能，上传后保存在/shrunk

 翻了会儿没找到其他的，git-dumper之前发现的.git

 

 拿到git后看到有个magick文件有点大，猜测有洞

查到版本后找day，搜索imagemagick poc

GitHub - Sybil-Scan/imagemagick-lfi-poc: ImageMagick LFI PoC [CVE-2022-44268]

当imagemagick分析png时会执行其中的命令

然后继续审计git文件，dashboard.php里找到一处，数据库位置

python3 generate.py -f "/var/db/pilgrimage" -o exp.png

制作带命令以及指定路径的png，上传到网站然后下载回来

 将identify的输出给网络厨子（cyberchef）解码

 

 在其中找到emily用户名以及密码：一个原神帅哥123

接着ssh连接这个号，启动！

user.txt 到手

 提权

ps -aux看下进程，看下id之类的常规行为

在进程里有一个malwarescan.sh

查看发现这是个监控脚本，监控/var/www/pilgrimage.htb/shrunk/,调用binwalk实现监控

此时查看/usr/local/bin/binwalk 详细信息，版本为2.3.2，搜day！

Binwalk v2.3.2 - Remote Command Execution (RCE) - Python remote Exploit

用day！

这个day需要一张png图片

生成图片马后在emily上wget图片，在本机开启nc监听后

将图片马复制到/var/www/pilgrimage.htb/shrunk/