1.【HTB系列】靶机Frolic的渗透测试详解

【HTB系列】靶机Frolic的渗透测试详解

       Hack The Box 平台上提供了多种靶机，从简单到复杂，旨在提升渗透测试技能和黑盒测试能力。这些靶机模拟了真实世界场景，适合不同层次的挑战。今天，类似zdir的源码我们将详细介绍如何通过靶机 Frolic 的渗透测试。

       首先，使用 nmap 扫描靶机开放的端口和服务。结果显示 SSH（端口 ）、SMB（端口 和 ）以及 HTTP（端口 ）。

       针对 SMB 服务，我们尝试使用 smbmap 查看共享文件。发现了两个共享目录，但没有访问权限。

       接着，我们通过 nc 工具快速检测了端口 是否开放。结果显示该端口是开启的。随后，访问了该端口，发现了一个简单的btcd 源码欢迎页面，底部包含 “forlic.htb:” 的信息。

       尝试登陆页面时，我们注意到需要账户密码。尽管使用常见默认账户和密码尝试登陆，但均失败。当使用 admin:password 登录时，页面陷入卡顿状态，且系统实施了等待时间限制，禁止暴力破解。

       为了突破限制，源码back我们使用 gobuster 爆破网站目录，成功发现了 /backup、/dev、/test 和 /admin 等目录。在 /backup 中，我们找到了 password.txt 和 user.txt 文件，分别包含了账号密码：admin: imnothuman。

       尝试登陆刚刚发现的 Node-RED 页面时，发现无法登陆。我们转而访问 /admin 页面，via源码发现提示剩余尝试次数。通过 Burp Suite 工具抓包发现，未接收到任何反馈信息。检查源代码的 JS 代码，发现了一种编码技巧。复制这段编码到谷歌搜索后，我们访问了作为提示的 URL，并通过解码找到一个 ZIP 文件。

       解压 ZIP 文件后，需要密码，arrlist源码我们使用 zip2john 工具将其转换为密码 HASH，然后使用 john 工具破解，得到了密码：password。再次解压文件，内容疑似 进制格式。转换后，我们发现是一个需要解密的文本，通过谷歌搜索找到对应解码网站，解密后得到 idkwhatispass。

       经过多次尝试，我们总共得到了两组密码。我们发现可能还有未被探索的网页，其密码可能属于未被发现的页面。基于此，我们继续使用 gobuster 工具进行进一步的扫描和爆破，最终找到了 /dev 下的 /backup 目录。

       访问此目录并使用刚刚得到的密码尝试登陆。正确的账号密码是 admin: idkwhatispass。接着，我们尝试利用 playsms 的已知漏洞进行攻击。使用 1.4 版本的远程代码执行漏洞，通过 searchsploit-x Path 查找相应的漏洞说明并手动利用。也可以使用 Metasploit 框架中集成的工具进行攻击。

       成功后，我们获得了 user flag。接下来是提权操作，我们使用 LinEnum 工具检查可利用的提升权限点。使用 Python 的 SimpleHTTPServer 模块将 LinEnum 上传到靶机执行，然后在 shell 中运行。我们注意到带有 SUID 权限的文件，可以通过输入特定内容触发溢出攻击，进而获得 root 权限。

       我们使用 gdb 进行调试，通过插件 pEDA 安装，调试工具帮助我们定位错误位置和计算地址偏移量。通过一系列操作，我们最终获得了 /bin/sh 的地址，并整合系统调用函数 system() 和 exit() 的地址，构建了 payload，成功获取了 root 权限。

       Ms 安全实验室专注于网络安全知识的普及和培训，已出版多本专业书籍，如《Web 安全攻防：渗透测试实战指南》、《内网安全攻防：渗透测试实战指南》等。团队定期在公众号分享技术干货，旨在提供实用的渗透测试实战指南。