序文
HTBプラットフォームの名前を長い間聞いていました。ミラーイメージをダウンロードして自分で再生する必要はありません。インターネットでミラーを直接開いてVPNに接続すると、直接実行できます。
今回は、これは、このプラットフォームでおなじみの操作です。
ニャー
開いているファイルをダウンロードし、kaliに接続して、
pingできることをテストしてから、
nmapを開いて実行します。
nmap -sV 10.129.160.90
ポート23を開く、telnetサービス、直接接続、rootアカウントが
直接フラグを立てる、
これは無料ギフトです
紙
次に、公式の無人標的機を起動します。最初は、
無人標的機にpingを送信できません。開始点とマシンが同じではないことがわかりました。そのため、
openvpnを再構成
して、IPアドレスを取得し、
最初にnmapする必要があります。 。22がオンになっていることがわかります。80、443ポート
80ポートがWebサービスを開き
ました応答ヘッダーを見て、ドメイン名/ etc/hostsと一致させます
ユーザー
これはWordPressのウェブサイト
です。wpscanでここをスキャンしてください。バージョンは5.2.3
です。Googleが検索しました。このバージョンにはブログの不正閲覧の抜け穴があります。
隠された記事を見つけました
。たくさん言いましたが、ここが重要なポイントです。
と1つの秘密のチャットサイト
# Secret Registration URL of new Employee chat system
http://chat.office.paper/register/8qozr226AhkCHZdyY
ドメイン名をホストに追加し、アクセスして登録済みページであることを確認し、アカウントを登録して
その中で最も特別なNPCはこのロボットです。これを見ると、
ここで何ができるかがわかり
ます。実際、どのファイルでも読み取ることができます。
root:x:0:0:root:/root:/bin/bash
bin:x:1:1:bin:/bin:/sbin/nologin
daemon:x:2:2:daemon:/sbin:/sbin/nologin
adm:x:3:4:adm:/var/adm:/sbin/nologin
lp:x:4:7:lp:/var/spool/lpd:/sbin/nologin
sync:x:5:0:sync:/sbin:/bin/sync
shutdown:x:6:0:shutdown:/sbin:/sbin/shutdown
halt:x:7:0:halt:/sbin:/sbin/halt
mail:x:8:12:mail:/var/spool/mail:/sbin/nologin
operator:x:11:0:operator:/root:/sbin/nologin
games:x:12:100:games:/usr/games:/sbin/nologin
ftp:x:14:50:FTP User:/var/ftp:/sbin/nologin
nobody:x:65534:65534:Kernel Overflow User:/:/sbin/nologin
dbus:x:81:81:System message bus:/:/sbin/nologin
systemd-coredump:x:999:997:systemd Core Dumper:/:/sbin/nologin
systemd-resolve:x:193:193:systemd Resolver:/:/sbin/nologin
tss:x:59:59:Account used by the trousers package to sandbox the tcsd daemon:/dev/null:/sbin/nologin
polkitd:x:998:996:User for polkitd:/:/sbin/nologin
geoclue:x:997:994:User for geoclue:/var/lib/geoclue:/sbin/nologin
rtkit:x:172:172:RealtimeKit:/proc:/sbin/nologin
qemu:x:107:107:qemu user:/:/sbin/nologin
apache:x:48:48:Apache:/usr/share/httpd:/sbin/nologin
cockpit-ws:x:996:993:User for cockpit-ws:/:/sbin/nologin
pulse:x:171:171:PulseAudio System Daemon:/var/run/pulse:/sbin/nologin
usbmuxd:x:113:113:usbmuxd user:/:/sbin/nologin
unbound:x:995:990:Unbound DNS resolver:/etc/unbound:/sbin/nologin
rpc:x:32:32:Rpcbind Daemon:/var/lib/rpcbind:/sbin/nologin
gluster:x:994:989:GlusterFS daemons:/run/gluster:/sbin/nologin
chrony:x:993:987::/var/lib/chrony:/sbin/nologin
libstoragemgmt:x:992:986:daemon account for libstoragemgmt:/var/run/lsm:/sbin/nologin
saslauth:x:991:76:Saslauthd user:/run/saslauthd:/sbin/nologin
dnsmasq:x:985:985:Dnsmasq DHCP and DNS server:/var/lib/dnsmasq:/sbin/nologin
radvd:x:75:75:radvd user:/:/sbin/nologin
clevis:x:984:983:Clevis Decryption Framework unprivileged user:/var/cache/clevis:/sbin/nologin
pegasus:x:66:65:tog-pegasus OpenPegasus WBEM/CIM services:/var/lib/Pegasus:/sbin/nologin
sssd:x:983:981:User for sssd:/:/sbin/nologin
colord:x:982:980:User for colord:/var/lib/colord:/sbin/nologin
rpcuser:x:29:29:RPC Service User:/var/lib/nfs:/sbin/nologin
setroubleshoot:x:981:979::/var/lib/setroubleshoot:/sbin/nologin
pipewire:x:980:978:PipeWire System Daemon:/var/run/pipewire:/sbin/nologin
gdm:x:42:42::/var/lib/gdm:/sbin/nologin
gnome-initial-setup:x:979:977::/run/gnome-initial-setup/:/sbin/nologin
insights:x:978:976:Red Hat Insights:/var/lib/insights:/sbin/nologin
sshd:x:74:74:Privilege-separated SSH:/var/empty/sshd:/sbin/nologin
avahi:x:70:70:Avahi mDNS/DNS-SD Stack:/var/run/avahi-daemon:/sbin/nologin
tcpdump:x:72:72::/:/sbin/nologin
mysql:x:27:27:MySQL Server:/var/lib/mysql:/sbin/nologin
nginx:x:977:975:Nginx web server:/var/lib/nginx:/sbin/nologin
mongod:x:976:974:mongod:/var/lib/mongo:/bin/false
rocketchat:x:1001:1001::/home/rocketchat:/bin/bash
dwight:x:1004:1004::/home/dwight:/bin/bash
listと呼ばれる関数もあります。ls
と同様にディレクトリファイルを確認してから、上位レベルのディレクトリを調べて調べ、このファイルでパスワードを見つけることができます。
export ROCKETCHAT_USER=recyclops
export ROCKETCHAT_PASSWORD=Queenofblad3s!23
これを使用してログインしました。ロボットはWebにログインできないとのことで、sshが同じパスワードを共有しているかどうかを確認する
と
、最初のフラグ
fcb715124fb8598cb1e1295c2c9c3228であることがわかりました。
根
次のステップは権利をエスカレートすることです。
試してみましたが、htbターゲットマシンがインターネットに接続されていないようです。
ローカルで実行してPythonサービスを開くことができます。
次に、wgetをダウンロード
chmod +x linpeas.shして権限を追加すると、正常に実行されます。これ
はCVE-2021-3560です。github
が特権昇格スクリプト
を検出します。特権昇格が成功し、フラグが取得されます。
