0x08-HackTheBox-Markup

Markup Video Walkthrough 😄

Recon

Nmap

nmap 还在跑的时候,我就去这个 ip 看下有没有 web 服务。这是主页。

在这里插入图片描述

然后记得上一个 Included 结束的时候,在 login.sql 里有一个登陆信息(移步 这里查看),我试了一下果然登陆成功。

在这里插入图片描述

首页。

在这里插入图片描述

有个 cookie

源码没有什么信息。

在这里插入图片描述

contact 页面假的,按钮点了没有任何反应。

在这里插入图片描述

order 页面,随便填了一些信息,点击提交显示已处理

在这里插入图片描述

我看到订单页面的源码里是提交到 process.php

我在地址栏直接访问,并添加了 null byte 在后面,防止 php 被执行,但是报错了。

在这里插入图片描述

加上两个 0 报错还不一样。

在这里插入图片描述

目标机器运行的技术栈全部暴漏了 - Apache/2.4.41 (Win64) OpenSSL/1.1.1c PHP/7.2.28

20 分钟过去了,我的 nmap 还没结束。

那就根据这个信息搜索一下漏洞好了。

Enumeration

搜索一下 apache 2.4.41 exploits 排前几位的文章都看了一下,没有发下有用信息。

openssl 也没有找到可用的模块。

在这里插入图片描述

php 同样也没有找到可利用的漏洞。

Burp Suite

拦截订单的请求,数据是通过 xml 组织的。

在这里插入图片描述

跑一下 dirsearch,看看有没有隐藏目录。

在这里插入图片描述

访问 /images 报错

在这里插入图片描述

扩展阅读
OWA'SP XML Related Exploits

找到一个 phpmyadmin 页面

在这里插入图片描述

我尝试在 xml 中嵌入代码,目的想要拿到 win.ini 文件。

在这里插入图片描述
但是提交之后报错。

在这里插入图片描述

然后读了这篇文章

扩展阅读
XXE Injection
XXE CheetSheet

结合上面 OWASP 的内容,想获取 win.ini 文件的内容。将请求改成如下形式

在这里插入图片描述

但是还是报错

在这里插入图片描述

根据第一行,是不是将双引号改成单引号试一下。

在这里插入图片描述

通过了,没有报错。

在这里插入图片描述

但是我想要的文件内容在哪里。

仔细看了一下,&xxe; 放错位置了,服务端会返回 <item> 标签中的内容,所以应该放在 <item> 里面。

在这里插入图片描述

在这里插入图片描述

拿到文件了。

为什么我要看这个文件,因为之前有印象看到过 win.ini/etc/passwd 一样很重要,但是没有深究过 win.ini 到底是什么

扩展阅读
WiN.INI Wikipedia

看完才知道是启动时的设置项,那并没有我想要的信息。

Foothold

既然可以获取文件内容了,又开放了 22 端口,相比可以登陆网站的 Daniel 同学应该也可以通过 ssh 登陆,验证一下就好了。

在这里插入图片描述

是这样的。

我尝试了一下网站的登陆密码,但是不对。

在这里插入图片描述

搜了一下 how windows store password

在这里插入图片描述

扩展阅读
Windows Password Store
Where is Windows Password File

WindowsLinux 一样,有两个文件,SAMSYSTEM,在 C:/WINDOWS/SYSTEM32/config 下面。

但是好像是不能直接看到文件内容的。

说什么都没用,拉下来看看。

在这里插入图片描述

报错了,这个 SAM 文件代码处理不了。

扩展阅读
Cracking Windows Password

这里说

在这里插入图片描述

机器运行时拿不到 hash。那么就是说没有办法获得 Daniel 的登陆密码。

所以只能去拿他的 ssh key 了。

在这里插入图片描述

key 的位置在 C:\Users\Daniel\.ssh。拿出来看一下。

获取 private key

在这里插入图片描述

在这里插入图片描述

登录

在这里插入图片描述

在这里插入图片描述

在这里插入图片描述

在这里插入图片描述

获取 user flag

在这里插入图片描述

Privilege Escalation

在这里插入图片描述

到了提权的时候了。

Windows 提权不熟。看些资料先。

扩展阅读
Tools for Windows Privilege Escalation

先获取一下系统信息

在这里插入图片描述

连看系统信息的权力都没有,可怜。

查看用户权限

在这里插入图片描述

看看权限又没有可利用的漏洞。

在这里插入图片描述

没什么发现。

刚才说到了 SAM,现在的思路是获取到 SAM 文件,然后取出 hash,用 JohnTheRipper 破解 admin 的密码。

在这里插入图片描述

试一下下面这个方法。

在这里插入图片描述

在这里插入图片描述

没有权限。这条路走不通。

还是用工具吧。

在这里插入图片描述

搜索 pentest powershell download one liner,下载本地的工具

在这里插入图片描述

winpeas 扫描一下

在这里插入图片描述

😂
😂
😂

在这里插入图片描述

费那么大劲,一个工具全挖出来了。但是我觉得这会不会是谁登录之后的缓存。

在这里插入图片描述

I'm in...