Format

Format 是一种中等难度的 Linux 机器，它突出显示了由解决方案的结构方式引起的安全问题。立足点涉及PHP源代码审查，发现和利用本地文件读/写漏洞，并利用Nginx中的错误配置在Redis Unix套接字上执行命令。横向移动包括浏览 Redis 数据库以发现用户密码，而权限提升则围绕以 root 权限运行的 Python 脚本展开，该脚本容易受到代码注入的影响。

---

外部信息收集

端口扫描

循例nmap

Web枚举

80端口 - app.microblog.htb

3000端口 - microblog.htb

Foldhold

和我预想的一样，gitea包含了app子域的源码，毕竟遇到这种情况的次数也不少了

我们首先在app子域创建一个账号并登录

这里有一个最显眼的功能也是唯一一个功能就是创建新博客，我们可以指定子域域名，我们在源码里面定位到那个功能的代码

一开始我把目光放到了addsite函数上

addSite($_POST['new-blog-name']);


function addSite($site_name) {
    if(isset($_SESSION['username'])) {
        ...
        $tmp_dir = "/tmp/" . generateRandomString(7);
        system("mkdir -m 0700 " . $tmp_dir);
        system("cp -r /var/www/microblog-template/* " . $tmp_dir);
        system("chmod 500 " . $tmp_dir);
        system("chmod +w /var/www/microblog");
        system("cp -rp " . $tmp_dir . " /var/www/microblog/" . $site_name);
		...

我们应该可以尝试控制$_POST[‘new-blog-name’]来尝试执行系统命令，但是我发现后端对new-blog-name进行了严格的过滤，只允许26个字母，所以使我打消了这个念头

if (isset($_SESSION['username']) && isset($_POST['new-blog-name'])) {
    if(!preg_match('/^[a-z]+$/', $_POST['new-blog-name']) || strlen($_POST['new-blog-name']) > 50) {
        print_r("Invalid blog name");

我创建了一个test子域

在gitea中我看到一个sunny子域，我猜那个应该是由app子域创建的，所以我刚刚创建的test子域应该与sunny子域有同样的代码结构

在edit/index.php中，我发现了任意文件读写

//add header
if (isset($_POST['header']) && isset($_POST['id'])) {
    chdir(getcwd() . "/../content");
    $html = "<div class = \"blog-h1 blue-fill\"><b>{$_POST['header']}</b></div>";
    $post_file = fopen("{$_POST['id']}", "w");
    fwrite($post_file, $html);
    fclose($post_file);
    $order_file = fopen("order.txt", "a");
    fwrite($order_file, $_POST['id'] . "\n");  
    fclose($order_file);
    header("Location: /edit?message=Section added!&status=success");
}

//add text
if (isset($_POST['txt']) && isset($_POST['id'])) {
    chdir(getcwd() . "/../content");
    $txt_nl = nl2br($_POST['txt']);
    $html = "<div class = \"blog-text\">{$txt_nl}</div>";
    $post_file = fopen("{$_POST['id']}", "w");
    fwrite($post_file, $html);
    fclose($post_file);
    $order_file = fopen("order.txt", "a");
    fwrite($order_file, $_POST['id'] . "\n");  
    fclose($order_file);
    header("Location: /edit?message=Section added!&status=success");
}

尝试读取passwd

我尝试着在web目录下写入webshell，但很不幸的是应该是没有权限和解析php

Nginx配置错误

读/etc/nginx/sites-available/default

...
location ~ /static/(.*)/(.*) {
	resolver 127.0.0.1;
	proxy_pass http://$1.microbucket.htb/$2;
...

这篇文章讲述了nginx的proxy_pass支持将请求代理到本地unix套接字

现在我们可以控制$1，我们看到register.php设置的字段

通过nginx的proxy_pass来对redis进行操作

将自己的账户的pro字段设置为true

刷新一下

function provisionProUser() {
    if(isPro() === "true") {
        $blogName = trim(urldecode(getBlogName()));
        system("chmod +w /var/www/microblog/" . $blogName);
        system("chmod +w /var/www/microblog/" . $blogName . "/edit");
        system("cp /var/www/pro-files/bulletproof.php /var/www/microblog/" . $blogName . "/edit/");
        system("mkdir /var/www/microblog/" . $blogName . "/uploads && chmod 700 /var/www/microblog/" . $blogName . "/uploads");
        system("chmod -w /var/www/microblog/" . $blogName . "/edit && chmod -w /var/www/microblog/" . $blogName);
    }
    return;
}

现在我们是pro，上面这些命令会使我们能够对uploads/目录写入文件，借此来getshell

然后通过rce来使用祖传python3 payload

本地横向移动 -> cooper

在redis发现了一个系统用户名的key

读一下发现了他的密码

hgetall cooper.dooper

直接登ssh

本地权限提升

sudo -l

这是一个python脚本

我们主要关注脆弱点

    username = r.hget(args.provision, "username").decode()
    firstlast = r.hget(args.provision, "first-name").decode() + r.hget(args.provision, "last-name").decode()
    license_key = (prefix + username + "{license.license}" + firstlast).format(license=l)

这里的license_key由几个变量拼接进来然后format，应该存在模板注入，而username这些都是在redis读取的，我们可以控制redis来触发模板注入

secret = [line.strip() for line in open("/root/license/secret")][0]
secret_encoded = secret.encode()
salt = b'microblogsalt123'
kdf = PBKDF2HMAC(algorithm=hashes.SHA256(),length=32,salt=salt,iterations=100000,backend=default_backend())

通过模板注入来获取secret，设置username

再次运行

root flag还在老地方