Ba1_Ma0的博客

到这里我测试了很多东西，这个购物网站的功能很少，页面也很少，sql，rce，什么的都测试了一下，还是不行，我会看burp的http历史的时候发现了一个api请求。通过前面读取/etc/passwd，发现这个机子上有两个普通用户，一个是mongodb，一个是angoose，我们读取了配置文件，发现了一个疑似密码的字符串。这是我们提交商品的时候请求的信息，之后就会生成一个pdf文件，我尝试修改了一下title标签，发现生成的pdf文件对应的地方也会变。发现只是一个单一的网页，并没有其他的功能，插件也很少。

HackTheBox Soccer靶机wp

HackTheBox靶机

这个漏洞允许一个用户以另一个用户身份运行代码，我们可以执行cat命令，查看dan_smith用户的ssh密钥，之后ssh登录就好了。成功得到dan_smith用户的密钥，在kali上创建一个名为id_rsa的文件，设置权限为600，将密钥复制进去。我们可以创建一个文件，里面是我们的反向shell，然后让程序执行这个文件，就能拿到root权限了。成功获得dan_smith用户的权限，在查看用户时，发现了一个奇怪的组。找到一个有suid权限的程序，他是root用户创建的，但是我们可以执行。

但是服务器禁用了一些函数，我们不能使用system()、passthru()、shell_exec()、popen()、fsockopen() 等，简单的 PHP 反向 shell用不了，但是proc_open()没有被禁用，我们可以利用这个函数来获取用户shell。根据我们刚刚的分析，我们可以创建一个.phar文件，里面放上很多网站的网址，在文件末尾放上php代码，当checker.php忙于检查站点时，我们访问上传的文件执行代码。这个网站对我们上传的文件扩展名进行了检查，不允许任何.php文件。

在whackywidget数据库里找到了developer用户的密码，根据80端口的网站提示，这个用户可以登录ssh，base64解密后登录ssh。但是进行一系列枚举后，并没有从80端口找到什么突破点，根据nmap的扫描结果来看，3000端口上运行的也是一个网站，我们去3000端口看看。登录后，我在后台到处看了一下，没找到什么有用的东西，现在我们把Grafana的库下载到本地看看。我们找到了一个git的令牌，通过google搜索相关的漏洞，我们可以利用这个api来提权。成功获得用户shell。

也能扫描到很多信息，现在我们知道这个网站的框架是WordPress，版本是5.6.2，我用searchsploitsearchsploit搜索了一下此版本的漏洞，需要登录后台才能用一个XXE的漏洞，既然是WordPress框架的，那就要用wpscan枚举一下。登录之后，我查看了当前文件夹下的所有文件，发现了passpie程序的文件夹，这个程序是用来管理密码的。这个.keys里有两个密钥，一个公钥，一个私钥，我把公钥删了，不然等一下工具用不了，然后把文件改个名。

解压密码为hackthebox。

最关键的地方就是最后一行的这个命令，他find使用的是相对路径，而不是绝对路径，也就是说，我们改变一下环境变量，然后在当前目录创建一个find文件，里面写一个shell，之后用sudo执行的时候，就能直接获得root权限。然后就是常规的枚举网站子域名，网站目录，查找网站框架的漏洞什么的，这些我都做了，但是没什么突破点，只能去网页上看看了。登录后可以下载一些图片，然后就没其他的了，我们使用burp抓一下下载的包。这个文件是刚刚登录框的js文件，这里应该是账号和密码，然后返回登录。成功获得root权限。

"SHARED SUPPORT ACCOUNTS@SUPPORT.HTB"组对“DC.SUPPORT.HTB”具有“GenericAll”权限，我们可以访问的support用户是“SHARED SUPPORT ACCOUNTS@SUPPORT.HTB”组的成员，因此，我们给其他对象授予“DC.SUPPORT.HTB”的“GenericAll”权限，可以利用这个方法来提权。在这里可以看到用户账户的详细信息，通常来说info字段都是空的，这可能是用户的密码。使用内置的AD模块，给我们生成的计算机对象设置权限。

这是一道入门的pwn题，入门可以看我写的那个pwn入门专栏，这里很多基础的东西都不解释了解压密码为hackthebox。

csdn吞了我很多文章，以前的一些原创文件也不见了，现在很多文章也发不出来，我把发不出来和消失的文章搬到这个网站上了，欢迎大家来关注我。

ssti的意思是服务端模板注入攻击，那什么是模板呢简单来说，就是网站内容的动态部分，如果有一个网站的内容几乎相同，但只有某些部分发生改变，那么他们很有可能使用了模板他们有一个静态罐和一个动态罐，hello为静态罐，{}里的内容为动态罐这是一个名为jinja模板引擎的示例，用流行的python框架（如django和flask）如果用户的输入的成为模板的一部分，那么我们就有一个大问题，因为模板有能力执行任意代码，所以用户可以在服务器上获得一个shell。