Hack The Box-Runner

总体思路

子域名扫描->CVE-2023-42793利用->获取敏感信息->user->端口转发->CVE-2024-21626利用->root

信息收集&端口利用

nmap -sSVC 10.10.11.13

在这里插入图片描述

目标开放22、80、8000端口，这里先将runner.htb加入到hosts文件后，访问之

在这里插入图片描述

查看源码后也没发现可疑点，尝试目录扫描和子域名扫描

在这里插入图片描述

发现子域名teamcity.runner.htb，将其加入hosts后访问

在这里插入图片描述

CVE-2023-42793

查阅资料可知，teamcity为一个组件，在exploitDB上查找其漏洞

在这里插入图片描述

存在远程代码执行漏洞，尝试该POC

在这里插入图片描述

在执行两次后，可以拿到一个登录的用户名和密码

在这里插入图片描述

经过查找文件，发现在Backup模块可以备份文件，并且备份后的压缩包会在Diagnstics模块中显示

在这里插入图片描述

将其下载到本地分析，发现其中存在id_rsa和users文件

在这里插入图片描述

发现users文件中有两段密文，将其使用john解密后，能得到matthew的密码为piper123，但是却无法登录，推测id_rsa文件为其中某一个用户的登录凭证

在这里插入图片描述

经过测试后，得出id_rsa为john用户的登录私钥

ssh -i id_rsa john@runner.htb

在这里插入图片描述

端口转发

因为没有获得密码，无法使用sudo -l查看权限，查看当前开放的端口是否存在敏感信息

netstat -nltp

在这里插入图片描述

发现有9000端口，使用chisel将其代理到本地

#kali:
chisel server -p 6150 --reverse
#靶机:
./chisel client 10.10.14.45:6150 R:9000:127.0.0.1:9000

访问本地9000端口

在这里插入图片描述

是一个portainer登录界面，回想起之前的matthew/piper123还未被使用，尝试使用其登录

在这里插入图片描述

成功登录

CVE-2024-21626

该漏洞由于runc的版本问题，会造成容器逃逸，具体链接详见：

https://nitroc.org/en/posts/cve-2024-21626-illustrated/#exploit-via-setting-working-directory-to-procselffdfd

新建一个容器，使用teamcity:latest作为镜像

在这里插入图片描述

将下方的Working Dir更改为/proc/self/fd/8，创建容器

在这里插入图片描述

创建完成后，打开控制台

在这里插入图片描述

使用root连接

在这里插入图片描述

虽然当前是在容器内，但是依然能做到任意文件读取，读取flag

在这里插入图片描述

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：/a/564199.html

如若内容造成侵权/违法违规/事实不符，请联系我们进行投诉反馈qq邮箱809451989@qq.com，一经查实，立即删除！