- 博客(71)
- 收藏
- 关注
RSS订阅原创 HTB - Connected
该文件执行了system命令，且以root权限执行，所以我们追踪$hookfile $params。所以我们进一步查看/usr/bin/sysadmin_manager`经过翻找发现了事件型的任务/etc/incron.d/sysadmin，查看文件内容。该文件规定只要 /var/spool/asterisk/incron/在/var/spool/asterisk/incron 创建文件。我们查看哪些内容可写，发现都可写，所以我们尝试再/usr/为具体了解程序执行逻辑，我们上pspy并尝试触发文件。
2026-06-08 14:03:02
478
原创 HTB - DevHub
然后阅读server.py代码，我们发现了一个可以窃取/root/.ssh/id_rsa的攻击路径，首先发送下面的报文，代码分析我就不附了，根据我构造的报文大家应该可以反推出来的。经过综合分析，我们转向8888端口，开启端口转发，上chisel。我们创建一个文件夹（必须创建文件夹），然后打开terminal。我们查看/opt/opsmcp/server.py文件。我们发现5000端口可以访问账户，搭建隧道。访问网页发现需要token，我们查看进程。我们还原id_rsa，使用密钥登录系统。
2026-06-01 09:31:44
509
原创 HTB - Reactor
查明中间件版本，发现React，该框架在2025年爆出RCE漏洞。发现reactor.db，传输文件道kali。最近太忙嘞，忙里抽空打了一下，望各位见谅。我们发现9229开启了node的调试端口。我们使用ws链接调试端口，并执行恶意命令。到此已经完成root的任意命令执行。我们进一步查看3000端口，访问。访问端口查看调试端口后面的序列。尝试sudo提权，提权失败·获取engineer用户。
2026-05-25 12:35:17
486
原创 OSCP+ 100分 7小时考试心得分享
哈哈哈，我终于以7小时 100分 通过了OSCP+的考试，我脱产准备了大概四个月的时间，收获很多也很艰苦。那么我们话不多说进入正题。这篇文章主要会讲述，我的个人学习经验，考试经验，以及写报告经验。好了那我们开始逐个介绍了。
2026-04-12 22:24:53
739
4
原创 HTB - DevArea
nmap扫描详细nmap扫描写入hosts窃取所有ftp内容vhost扫描阅读jar文件jd-gui我们发现其调用了apache.cxf包，该包在google搜索，发现了其SSRF漏洞我们经过大量GPT的询问和尝试，我们成功了。
2026-03-30 16:15:34
486
原创 HTB - Kobold
nmap扫描我们注意到80端口，说明页面还在开发阶段，所以我们对其发起资产扫描发现一个用户名admin，记录下来我们综合决定打算先vhost扫描，然后发起目录扫描。
2026-03-23 16:32:50
560
2
原创 HTB - VariaType
nmap扫描访问80端口加入host我们注意到了这段话，fonttool，2025年爆出其存在任意文件写入漏洞 https://github.com/advisories/GHSA-768j-98cg-p3fv进行简单vhost扫描计入hosts访问网站扫描http://portal.variatype.htb/窃取git文件夹查看git文件git log -p成功窃取账户密码经过大量尝试，我们发现可写位置我们写入php就可以获取webshell尝试一下我们开始反连上linpeas上pspy64。
2026-03-16 17:52:56
928
2
原创 HTB - CCTV
该页面给我们相关的漏洞Poc https://github.com/Gh0s7Ops/CVE-2024-51482-Multi-Stage-Surveillance-System-Exploit。我们注意到zoneminder 是v1.37.63。使用账号admin:admin登录。我们了解到页面正在开发，且密码不变。首先F12进入js，绕过前端监测。我们点击staff login。我们在网上找到了其相关漏洞。然后点击按钮Apply即可。访问8765端口，密码是。我们发现了一个计划任务。
2026-03-09 13:47:05
345
原创 HTB - Pirate
那么攻击路线确认，我们如果可以劫持WEB01的NTLMv2，我们就可以将其relay到DC01的LDAP，然后在DC01的LDAP种修改WEB01自身的ms-AllowedToActOnBehalfOfOherIdentity，从而发起RBCD攻击。这条路线意味着，我们可以获取到a.white_adm账户，并且通过该账户的权限，获取到DC01 SPN的写入能力。如果我们可以relay出来Web01的NTLMv2，我们就可以和DC的ladp交互，为自己添加委派，其重要原因是ladp没有添加signing。
2026-03-02 19:08:05
1240
原创 Interpreter
nmap扫描!!该中间件存在unauth的RCE!发现/usr/local/mirthconnect/conf/mirth.properties!上linpeas!!
2026-02-23 13:26:23
585
2
原创 WingData
这篇文章给我们构造文件的办法 https://github.com/1135/notes/blob/master/web_vul_PathTraversal.md。阅读/opt/backup_clients/restore_backup_clients.py，发现相关漏洞 https://linuxsecurity.com/news/security-vulnerabilities/python-tarfile-supply-chain-risk。我们自己搭建的貌似不成功，我们在网上找到了这个poc。
2026-02-17 17:24:20
573
原创 HTB 赛季10 - Pterodactyl - user
我们了解到这个漏洞存在，经过大量尝试，我们发现该漏洞是一种php文件包含的变种，他包含了pearcmd后，导致了RCE。我的payload如下。我到这里发现了一封邮件并确认时使用udisk2的相关漏洞，但是我始终没能根据描述完成攻击。我们注意到其背后有一个存在RCE的Panel中间件。我们对Web应用进行枚举。
2026-02-12 10:59:50
1391
2
原创 HTB赛季10 - Facts
各位小伙伴，赛季10开启了，但是我最近实在太忙，实在没心情将图片拖进来了，可能会影响大家的阅读体验，但这同时也是锻炼各位的机会哈哈哈。之后空闲下来，会恢复文章品质的。Sorry啦。nmap扫描!扫描vhost!我们进入页面并创建用户!
2026-02-01 23:01:55
1579
原创 HTB 赛季9靶场 - Signed
我们尝试伪造自己的权限到域管理员级别，尝试使用mssql来读取文件。我们发现该用户大概率是一个mssqlsvc用户，同时我们攻陷了这个SPN用户，那么这可能意味着我们可以伪造白银票据来模拟任何用户来访问mssqlsvc。获取impersonateuserSID，impersonateGroup，我们再前面获取域SID的过程相同。看样子是我们的权限不足，那么我们把自己加入域管，大概率可以解决这个问题。我们成功窃取了mssql的管理员权限。我们发现了mssql，我们也拥有mssql账户，所以进入mssql。
2025-10-13 23:19:02
2597
7
原创 追踪 - 两张图片引发的地理位置暴露
无心的信息很可能在坏人手里就是宝贵的数据源。作为现代社会的一员，保护自身个人信息是每个人面临的课题。该系列文章会大概描述追踪方法并总结预防重点。本文全部内容仅供学习参考，不允许用于非法途径，如果违法责任自负。
2025-10-05 12:19:13
291
原创 HTB 赛季9靶场 - Imagery
攻击路径确认，我们首先登录testuser账户，然后使用对应的RCE接口。我们在google查询pyAesCrypt，发现了它是一种AES加密工具，需要密码才能破解备份文件。我们对于这几个非常感兴趣，因为是用户自己定义的，所以继续窃取其他的py文件。进入dashboard，可能会变为404，因为我们的XSS问题，所以要删除哪个带有XSS的内容。我们测试这个备份工具，首先需要重置他的密码。好吧，这里貌似需要我们自己编程了，我找了半天也没找到。我们尝试使用了一下，发现是个备份工具，还是root权限，DDDD！
2025-09-29 19:36:08
1844
原创 HTB赛季9靶场 -Express
经过google搜索，我们发现这个技术是一种VPN技术，里面可能会开启PSK技术，PSK技术是一种预设的密钥。详细请看https://book.hacktricks.wiki/zh/network-services-pentesting/ipsec-ike-vpn-pentesting.html。经过进一步的了解我们了解到该端口可被如此利用，我们发现了两个有趣的地方。我们猜测ike是一个用户，psk是一个密钥，经过破解我们成功获取了密钥。我们寻找SUID文件，发现了一处有趣的地方。
2025-09-22 23:02:02
415
原创 HTB 赛季8靶场 - Guardian
各位好，最近我的kali崩掉了，崩掉了，建议大家避K 番茄C盘瘦身，这家伙修改了我的avrt.dll文件，导致virtualbox不接受我的avrt.dll文件的签名了，从而导致virtualbox的虚拟机环境全崩无法开机。弄了几天，真是造孽啊！
2025-09-04 16:28:38
1825
原创 HTB赛季8靶场 - Previous
一个是设置/usr/local/go/bin为example的环境变量，一个是创建了一个文件。现在可以说明我们可以通过修改环境变量劫持ELF文件了，那么我们构造好响应的ELF文件即可，俺是尝试过pwn.c直接构造发现不可行。路径爆破，和技术栈收集，发现邮箱和next.js，我们在wapplyzer可以看到是15.2.2版本。我们成功绕过了权限控制，我们在doc的example中发现了download接口。我们了解到next.js的文件夹为app，这是创痛的next.js服务器的目录结构。
2025-08-25 17:34:47
1161
原创 HTB 赛季 8 靶场 - Editor
各位朋友~，我这次没有记录过程，因为中途换了主机来攻击这个靶场。相信各位发挥自己的才学，根据我给出的Hint也能完成这个靶场。“没那么困难的，对吧！8.google查询netdata是一款Linux系统监控工具，在2024年爆出一个本地提权漏洞。10.我们尝试根据POC的指示，成功执行了pwn.c文件编译的二进制文件，root权限获取。3.网上现有脚本存在一些和靶场有差异的地方，需要我们自行修改。6.喷洒这个密码，获取Oliver用户的SSH权限。4.成功使用POC，获取xwiki用户的权限。
2025-08-05 09:26:05
982
原创 HTB赛季8靶场 - era
传输到受害机器，然后我们提取monitor的特征码（因为直接替换貌似不执行monitor，怀疑存在检测）我们分析源码可知fopen处存在漏洞，只要我们是管理员账户，我们便可以成功控制fopen函数。开启msf监听，然后复制bypass后的恶意文件到monitor。我们用备份数据库里面的内容无法成功登陆，故修改问题答案。我们且对monitor文件可写，我们生成shell。登录admin_ef01cab31aa。我们爬取sqlite3DB文件。上linpeas.sh搜查。上pspy64监控定时任务。
2025-07-28 18:00:33
1634
3
原创 HTB赛季8靶场 - Mirage
NATS服务 Exploit .NATS服务式消息服务，以主题作为中心，将消息分发。上图意味着，用户mark可以修改账户javier的账密，也可以激活用户。我们还发现当前域正在废除所有的NTLM认证，Kerb认证将成为主流。查询域名，我们发现当前域名不存在，那么我们可能可以劫持这个域名。绑定成功后我们使用GPT生成了一个伪造的NATS服务器。我们获取到了用户david.jjackson的账户。只能说GPT老师还是太全面了，我们成功获取账密。我们在文件中发现一个子域名，我们去访问这台机。
2025-07-22 14:18:11
3348
原创 HTB 赛季8靶场 - Certificate
所以我们只能ffuf,upload.php的get接口，我们ffuf没有结果，所以进行一定程度的sid变种尝试，发现了s_id。经过不懈努力，我们成功绕过了upload的控制逻辑，将两个zip文件合并，该上传文件口就会解压两个zip文件，从而导致webshell被上传。我们仅关注certificate.htb的用户，结合了解的域用户情况，我们认为sara.b有价值，其他无价值。我们在sara.b这个用户发现有趣的上下游，其中我们应该关注用户有这么些，我们可以修改这些用户。
2025-06-04 09:30:51
1973
原创 HTB 赛季8靶场 - Puppy
嗯哼如我们所料，我们成功拿取里面的文件。keepass2john无法正常使用，经过查询，我们发现了解决办法[[https://0xdf.gitlab.io/hackvent2024/hard#]]，我们使用keepass4brute.sh完成攻击，发现密码。接下来我们在全局来判定高价值用户，STEPH.COOPER_ADM这个用户显得非常有趣，我们将重点关注，看看他的权限情况。我们还发现一个有趣的点，我们发现user文件夹处，有ant这个用户，并且这个用户必adam权限要高，只是不能远程。
2025-05-20 22:34:44
3483
2
原创 赛季7靶场 - Planning
本系列仅说明靶场的攻击思路，不会给出任何的详细代码执行步骤，因为个人觉得找到合适的工具以实现攻击思路的能力也非常重要。1.nmap扫描发现22,80端口。2.通过扫描80端口，我们在vhost发现了grafana.planning.htb。我们进入发现登录界面，我们通过靶场本身给的账密登录grafana，发现里面啥也没有。我开始搜集grafana版本信息，发现为11.0.0，这个版本存在恐怖的RCE漏洞，我们成功拿到了Webshell【+】webshell成功。
2025-05-13 15:56:25
319
原创 赛季7靶场 - Environment
本系列仅说明靶场的攻击思路，不会给出任何的详细代码执行步骤，因为个人觉得找到合适的工具以实现攻击思路的能力也非常重要。1.Nmap扫描发现80和22端口2.访问80端口，使用katana查看js代码，快速发现laravel框架。【*】希望知道laravel框架版本信息3.继续使用katana爬取各个页面没有发现版本信息。尝试让服务器报错，成功获取版本信息。laravel 11.30.0版本。搜索该版本的漏洞情况。
2025-05-09 17:17:16
418
原创 赛季7靶场 -- Checker --User flag
6.获取reader用户，第一步猜测自身身份，我们应该是一个Web运维角色，因为我们可以使用数据库，并查明密码hash是否是弱密码。我们查看脚本，并找不到一些命令执行的位置，但是我们发现了一个check_***二进制文件。我们发现了有关于备份的文章，他告诉我们备份目录，那么很可能这个地方也存在/home/user/xxx文件的副本，所以我尝试获取它。我们使用hashcat成功破解了密码，进入到bob账号，获取了reader账号的ssh密钥，和bob的bookstack密钥。【+】窃取账号和密码hash。
2025-05-03 11:37:51
536
原创 赛季7靶场 - Eurake
现在我们已经明确了路由的可能性，是觉得可行的，那么就需要触发m***a-wise的用户的登录了。为了解m***a-wise的用户在什么时间段会登录系统，我们查看了Eureka server的APP-GATEWAY的日志文件，我们很惊喜的发现m***a-wise的用户每分钟会登录一次系统，这将成为我们窃取m***a-wise的用户密码的最佳手段。/opt/log***.sh脚本内大部分的变量都加了引号，导致命令注入困难，但遗漏了一个地方，即if后面的条件计算部分，也会执行命令，并且这个地方没有加引号！
2025-05-03 10:02:46
844
原创 赛季7靶场 - Haze （Just Hit）
9.我们查看haze-it-b***p账户是否存在特殊权限，我们根据域地图发现，haze-it-b***p账户是support_s***e组的WriteOwner权限。12.去域地图查看edward.m***n账户的信息，我们发现他是一个Backup_v***r组的成员。接下来使用pywhiser查看影子证书，我们发现了有趣的东西，haze-it-b***p账户（添加到support_s***e组后）我们可以修改。【+】我们获取了Splunk服务账号的Shell，名为alex***.g***n的账号。
2025-04-02 14:00:40
570
空空如也
空空如也
TA创建的收藏夹 TA关注的收藏夹
TA关注的人