搜索

[26739] 2021-06-27_hacktheboxoopsie

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-19
2021-06-27_hacktheboxoopsie h a c k t h e b o x   o o p s i e 原 创   小 苏   m o o n s e c   2 0 2 1 - 0 6 - 2 7 收 录 于 话 题   # h a c k t h e b o x   , 1 个 h a c k t h e b o x   o o p s i e 1 信 息 收 集 信 息 收 集 固 定 I P ： 1 0 . 1 0 . 1 0 . 2 8 N m a p 扫 端 口 详 情 访 问 8 0 端 口 查 看 信 息 看 了 看 这 些 网 页 ， 发 现 了 有 用 的 就 是 这 个 翻 译 后 这 里 我 们 扫 目 录 没 扫 出 什 么 东 西 ， 之 后 去 网 页 源 码 看 了 看 发 现 了 登 录 页
因 为 这 个 初 学 者 靶 机 是 连 着 一 块 的 所 以 密 码 是 上 一 节 的 管 理 员 密 码 M E G A C O R P _ 4 d m 1 n ! ! ， 看 不 懂 英 文 是 真 的 头 疼 来 到 上 传 界 面 说 要 超 级 管 理 员 才 行 2 越 权 漏 洞 越 权 漏 洞 看 到 有 个 界 面 是 管 理 员 记 录 ， 这 明 晃 晃 的 i d = 1 啊 ， 兄 弟 们 懂 我 意 思 吧
我 先 尝 试 修 改 了 i d 后 边 的 参 数 ， 直 到 4 出 现 了 一 个 用 户 ， 那 肯 定 有 s q l 注 入 越 权 漏 洞 了 之 后 我 们 抓 个 包 分 析 一 波 ， 可 以 看 到 除 了 i d 就 是 c o o k i e 最 简 单 的 u s e r 加 r o l e ， 那 我 们 接 下 来 就 是 要 获 取 超 级 管 理 员 的 u s e r i d 和 r o l e 了 。 既 然 修 改 i d 就 可 以 爆 出 账 户 密 码 ， 那 我 们 也 不 用 太 麻 烦 了 ， 直 接 上 b u r p 爆 破 ， 在 那 之 前 我 们 先 生 成 下 字 典 这 里 忽 略 掉 一 些 过 程 我 们 直 接 看 b u r p 跑 的 结 果 f o r   i   i n   ` s e q   1   1 0 0 ` ;   d o   e c h o   $ i   > > 2 . t x t ; d o n e ;
访 问 找 到 超 级 管 理 员 记 好 i d 和 用 户 名 8 6 5 7 5   s u p e r   a d m i n   抓 包 修 改 下 u s e r i d 和 r o l e 成 功 越 权 这 里 我 直 接 用 k a l i 自 带 的 反 弹 s h e l l 了 3 反 弹 交 互 反 弹 交 互 s h e l l
c p / u s r / s h a r e / w e b s h e l l s / p h p / p h p - r e v e r s e - s h e l l . p h p   ~ / 桌 面 打 开 文 件 修 改 下 i p ， 改 成 自 己 的 先 开 启 监 听 做 好 准 备 工 作 之 后 上 传 ， 还 是 要 抓 包 把 u s e r 和 r o l e 改 成 超 级 管 理 员 的 值 这 里 我 们 不 知 道 传 哪 里 去 了 ， 扫 下 目 录 看 看 p y t h o n 3 d i r s e a r c h . p y   - u   1 0 . 1 0 . 1 0 . 2 8   - e   p h p 根 据 老 套 路 应 该 去 了 u p l o a d s 了 访 问 下 文 件 反 弹 监 听
这 个 时 候 我 们 要 升 级 s h e l l ， 因 为 n e t c a t 为 非 交 互 模 式 ， 下 方 为 原 理 解 释 交 互 式 模 式 就 是 s h e l l 等 待 你 的 输 入 ， 并 且 立 即 执 行 你 提 交 的 命 令 ， 退 出 后 才 终 止 非 交 互 式 模 式 就 是 以 s h e l l s c r i p t 方 式 执 行 ， s h e l l 不 与 你 进 行 交 互 ， 而 是 读 取 存 放 在 文 件 中 的 命 令 并 执 行 它 们 ， 读 取 到 结 尾 就 终 止 用 n e t c a t 获 得 的 s h e l l 是 非 交 互 式 的 ， 不 能 传 递 t a b 来 进 行 补 全 ， 不 能 使 用 s u 、 n a n o ， 也 不 能 执 行 c t r l + c 等 命 令 ， 所 以 我 们 需 要 升 级 为 交 互 式 的 s h e l l S H E L L = / b i n / b a s h s c r i p t   - q   / d e v / n u l l 经 过 各 种 翻 目 录 找 到 了 数 据 库 用 户 和 密 码 ' r o b e r t ' , ' M 3 g 4 C 0 r p U s 3 r ! ’ 切 换 到 r o b e r t 用 户 也 是 在 他 老 家 找 到 了 u s e r 的 f l a g 4 L i n u x 日 常 日 常 s u d o 提 权 提 权 先 看 看 有 没 有 r o o t 权 限 的 文 件 f i n d /   - t y p e   f   - g r o u p   b u g t r a c k e r   2 > / d e v / n u l l   / / - t y p e   f 为 查 找 普 通 文 档 ， - g r o u p b u g t r a c k e r   限 定 查 找 的 组 为 b u g t r a c k e r ， 2 > / d e v / n u l l 将 错 误 输 出 到 黑 洞 （ 不 显 示 ） l s - a l   / u s r / b i n / b u g t r a c k e r   / / - a l   以 长 格 式 方 式 显 示 并 且 显 示 隐 藏 文 件 可 以 看 到 有 一 个 文 件 在 这 个 目 录 下 有 r o o t 权 限
打 开 看 看 如 何 运 行 的 ， 看 这 种 文 件 就 是 找 关 键 词 ， 看 见 图 中 r o o t 了 对 吧 ， 正 常 情 况 是 没 法 访 问 r o o t 目 录 的 ， 之 后 文 件 运 行 又 是 根 据 用 户 输 入 的 i d 值 访 问 r o o t 目 录 下 文 件 这 个 时 候 我 们 设 置 环 境 变 量 ， 加 上 恶 意 的 c a t 指 令 e x p o r t P A T H = / t m p : $ P A T H   / / 将 / t m p 目 录 设 置 为 环 境 变 量 c d / t m p / / / 切 换 到 / t m p 目 录 下 e c h o ' / b i n / s h '   >   c a t / / 在 此 构 造 恶 意 的 c a t 命 令 c h m o d + x   c a t / / 赋 予 执 行 权 限 执 行 目 标 文 件 ， 获 取 r o o t 权 限 打 开 r o o t 目 录 拿 到 f l a g
5 关 注 公 众 号 关 注 公 众 号 公 众 号 不 定 期 更 新 安 全 文 章 和 视 频 公 众 号 不 定 期 更 新 安 全 文 章 和 视 频 欢 迎 前 来 关 注 欢 迎 前 来 关 注
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理