Linux/Luanne

Enumeration

nmap

首先扫描目标端口对外开放情况，第一轮扫描发现对外开放了22,80,9001三个端口，端口详细信息如下

TCP/9001

9001端口挺神奇，nmap给出的结果是在9001端口运行着Medusa Supervisor，访问站点发现了一个登录框

在谷歌中搜索 ，查看默认用户名密码

尝试使用该用户名密码登录

看起来是在监控一些程序的运行，可以对服务进行重启，关闭，清除日志等操作 点击Tail -f Stdout，会返回系统正在运行的一些进程

可以看到有两个httpd正在运行，一个在3001端口，一个在3000端口

首先看3001端口，运行它的用户是r.michaels，目录为/home/r.michaels/devel/www下运行，可能是开发服务 而3000端口的运行用户为_httpd，目录为/var/www，可能是生产服务

对80端口的进一步探索标明，该nginx服务器被用作3000端口上运行的httpd的反向代理

在谷歌中搜索/usr/libexec/httpd，发现一个手册页，点进该手册页，进程指令是/usr/libexec/httpd -u -X -s -i 127.0.0.1 -I 3000 -L weather /usr/local/webapi/weather.lua -U _httpd -b /var/www

根据手册页内容显示，-L表示添加一个新的lua脚本，当触发特定url时，会执行lua函数，因此-L weather很有可能是 一个web目录，但是访问http://10.10.10.218/weather并没有展示有趣的东西

尝试扫描目录，发现该目录下存在forecast，且状态码为200

尝试访问结果如下

按照提示添加参数city=list，可以看出给出了一个城市列表

指出城市London，会收到下面的响应，可以看到列出了从今天开始很多天的天气预报

需要注意的是，城市的首字母应该大写，刚才输入london，收到的是状态码为500的错误

但是也提示了，如果输入的城市名不在列表中或拼写错误，系统会报错 在谷歌中搜搜lua httpd vuln，得到如下结果

lua code injection

但是先要考虑如何闭合，添加单引号

经过尝试，在下面的情况中，返回与最初报错相同

然后在后面添加payload，发现确实返回了id

那么就可以使用一个反向shell连接回来

监听得到shell

Lateral Movement

当前目录下有.htpasswd文件，保存了webapi_user的hash

然后使用john暴力破解hash值，得到密码webapi_user:iamthebest

使用用户名和密码可以登录80端口的http服务，但是并没有什么有趣的

查看home目录，发现只有一个r.michaels用户

而之前探索得到这个用户在3001端口运行了一个httpd服务，使用刚才获取的用户名和密码可以认证成功

进而发现了一个id_rsa目录，访问得到了一个私钥

将该密钥保存后，赋予权限，然后可以登录ssh

Privilege Escalation

在r.michaels目录中发现了一个.gnupg

搜索得知gnupg是一个用于加密加签的软件

然后在backups目录中，有一个压缩文件

在NetBSD中可以使用netgpg来解密，首先复制一份到/tmp目录，然后解密

解压输出的文件

打开.htpasswd，发现一个新的密码

使用john解密得到密码

在BSD上与sudo -l等效的是doas，首先找到并查看该配置文件

因为允许r.michaels以root权限执行，所以可以利用，输入刚才获取的密码，成功切换至root