HackTheBox | Paper

HackTheBox | Paper

nmap扫描，开启22、80、443

UDP扫描

访问Web服务

看起来没什么东西，dirsearch扫描一下，也没有东西

在网络包中，看到office.paper

修改本地hosts文件，添加指向office.paper的DNS记录

访问http://office.paper/，得到如下页面，该站点由wordpress搭建

使用wpscan扫描，没有发现插件

在主页看到了搜索框，尝试输入，发现为GET型请求

尝试sqlmap进行SQL注入，也没有东西

手动信息收集，看看页面有什么内容。发现有几篇博客，其中一篇下面有留言说Michael, you should remove the secret content from your drafts ASAP, as they are not that secure as you think!，也就是wordpress的草稿站点有问题

当前wordpress版本为5.2.3，查找是否存在相关漏洞

在https://wpscan.com/vulnerability/9909中看到5.2.3版本存在未授权的页面泄露

访问urlhttp://office.paper/?static=1&order=asc，得到如下页面

接着访问http://office.paper/?static=1，来到一个页面，找到一个URLhttp://chat.office.paper/register/8qozr226AhkCHZdyY

修改hosts文件，访问得到的URL，来到如下页面，组件为rocket chat

搜索exp，3.12.1版本存在未授权漏洞，能够通过NoSQL注入进行命令执行，https://www.exploit-db.com/exploits/50108

利用条件中需要有一个低权限的用户邮箱，还得知道管理员的邮箱

在刚才的注册页面注册一个新账号，并登录；登录之后看到一个聊天频道

在这个聊天频道里，有个机器人叫recyclops；私聊这个机器人，随便发的时候能看到提示信息，发送help获取使用帮助手册

按照提示，可以获取文件、列文件目录等操作，发送recyclops list sale，看到目录下有portfolio.txt

当前路径为/home/dwight/sales/，当前路径有2个文件夹sale和sales_2，里面有portfolio.txt文件，但是好像并没有用

发现可以目录穿越

最终，在/home/dwight/hubot/.env文件中获取到一组用户名和密码recyclops/Queenofblad3s!23

使用获取到的密码登录dwight用户，成功

在/etc/passwd中看到另一个用户rocketchat

在进程中也能够看到这个用户运行了聊天室程序

在前面找到的RocketChat漏洞需要管理员的邮箱账号，所以进行信息收集

在聊天频道的成员中得到负责人的名字是michael或prisonmike，对关键词进行搜索，拿到一些邮箱

github.public.email@michael.ficarra.me
michael.hart.au@gmail.com
michael@mikepb.com
michael.schramm@gmail.com

加上前面自己注册的账号，就已经达到了目标条件

利用找到的exp，但是发现需要接收邮件，但是又没法使用真实邮箱

最后还是看了wp，发现直接用的提权漏洞…CVE-2021-3560

既然如此，直接上exp就可以了

linpeas的扫描结果中，有很多提权漏洞，但是试了之后都不行

最后利用脚本https://github.com/Almorabea/Polkit-exploit成功提权