THM打靶日寄20-Year of the Jellyfish

• 扫描打点

  不是这个公网ip是不是有问题啊

  nmap --min-rate 10000 -p- 扫出来的结果比较奇怪：

  

  一直到：

  

  初步怀疑是扫描过快触发防御机制了 但我看别人这样也扫出来了

  即使用 | grep -v 'unknown' 过滤掉未知的 service ，剩下的端口还有近千个

  然后如果慢扫的话要几个小时。。。

  偷别人的结果：

  

  然后扫下这几个：

  

  拿到了网址 robyns-petshop.thm 和他的一堆子域名，都顺手加到 dns 解析里面

• 文件上传绕过拿 shell

  • robyns-petshop.thm

    在 contact 页面找到员工邮箱 staff@robyns-petshop.thm

    没有什么交互的地方，扫一下：

    在 README.md 找到 CMS 型号

    

    但没有相关的漏洞

  • monitorr.robyns-petshop.thm

    

    简单的仪表盘，没有什么东西，看源码可以看到来自于 https://github.com/Monitorr/Monitorr

    版本为 1.7.6

    搜到两个漏洞：

    

    • RCE

      试图丑陋的一把梭被逮捕了，是证书验证的问题

      

      给出的解决方案是忽略证书，即在两处 request 地方加上 verify=false

      然后还是没有用：

      

      加一下调试，发现被逮捕了：

      

      去访问一下 /assets/php/upload.php 看到 cookie 里有 isHuman ，给脚本也加上

      

      然后又被逮捕了，显然不是过大导致的，那么就是被检测了，绕一下试试：

      

      因为是检测的非图片格式，所以应该不是双写过滤，GIF文件前缀也写好了，先考虑是 php 的黑名单：

      

      看起来不是

      访问 /assets/php 可以看到是 apache ，用其解析漏洞试一下：

      发现不是：

      

      偷看wp，发现是解析漏洞加上大小写，愤怒喵，看到别人的题解有参考这个 hacktrick

      

      然后用 THM attackbox 的公网 ip 上线：

      

      拿到第一个：

      

• linux suid 提权

  sudo -l 没有，计划任务没有，suid 看一下有东西：

  

  欸不对，不能用 sudo

  但是 pkexec 还有一个知名漏洞 CVE-2021-4034 ，可以用 pwnkit 直接提

  但是开 python 的 http.server 一直连不上，还好靶机出网，直接从 github 下了：

  wget github.com/ly4k/PwnKit/raw/refs/heads/main/PwnKit

  

  那个很突兀的是个 warning 并不是报错，吓我一跳啊嗯

  拿下了