Hack The Box-Starting Point系列Three

答案

1. How many TCP ports are open?（靶机开了几个TCP端口）
   2
2. What is the domain of the email address provided in the “Contact” section of the website?（网站的“CONTACT”部分提供的电子邮件地址的域是什么？）
   thetoppers.htb
3. In the absence of a DNS server, which Linux file can we use to resolve hostnames to IP addresses in order to be able to access the websites that point to those hostnames?（在没有 DNS 服务器的情况下，我们可以使用Linux 上的哪个文件将主机名解析为 IP 地址，以便能够访问指向这些主机名的网站？）
   /etc/hosts
4. Which sub-domain is discovered during further enumeration?（在进一步的枚举过程中发现了哪个子域？）
   s3.thetoppers.htb
5. Which service is running on the discovered sub-domain?（在发现的子域中运行的是哪个服务？）
   Amazon S3
6. Which command line utility can be used to interact with the service running on the discovered sub-domain?（哪个命令行工具可用于与已发现子域上运行的服务进行交互？）
   awscli
7. Which command is used to set up the AWS CLI installation?（哪条命令用于设置 AWS CLI 安装？）
   aws configure
8. What is the command used by the above utility to list all of the S3 buckets?（上述工具使用什么命令来列出所有S3 buckets？）
   aws s3 ls
9. This server is configured to run files written in what web scripting language?（该服务器配置为运行以何种网络脚本语言编写的文件？）
   php

Hack Step

1. Nmap扫描信息：nmap -sV -sC -p- 目标IP,通过结果可以发现靶机共开启了两个端口，分别是：80、22
   

2. 使用gobuster扫描目录，gobuster dir -w /usr/share/wordlists/dirbuster/directory-list-2.3-small.txt -t 30 --timeout 20s -x php -u http://10.129.14.77 ,最后发现就一个index.php，没啥东西。
   -t: 设置线程数
   -x 设置脚本类型,php是在网页源码中找到的
   –timeout 设置访问网站的超时时间
   

3. 那我们就访问一下网站：http://ip/index.php
   

4. 接着我们在页面上到处点一下，最后发现有个邮箱引起了我们的注意
   

5. 尝试绑定一下这个域名，编辑/etc/hosts文件，添加如下内容
   后续我们直接使用该域名进行操作。

6. 安装SecLists，执行命令：sudo apt install seclists，为什么要安装这个呢，因为我用了系统自带的字典没有跑出来。后面需要对子域名进行枚举。

7. 查看seclists的安装位置：whereis seclists，显示出了两个位置，第二个位置就是字典所在的位置。
   

8. 让我们定位到子域字典的位置：ll /usr/share/seclists/Discovery/DNS, 这么多用哪个呢，我选择是top5000的那个。如果你的时间充裕尽量选择多一点的。
   

9. 使用gobuster暴破子域，执行命令：gobuster vhost -w /usr/share/seclists/Discovery/DNS/subdomains-top1million-5000.txt -t 5 --timeout 20s --delay 3000ms -u http://thetoppers.htb --append-domain, 使用vhost的原因是，我们的目标是一个IP，单IP多个域名的情况下需要配置虚拟主机，即vhost. 经过漫长的等待发现跑出来两个子域名。
   注意看两张图的区别，第一张是没有append-domain的，第二张则是设置了的，怪不得跑了大半天都是400.

注意：如果你提供的字典不包含要暴破的主域名，需要添加 --append-domain 选项，新版本问题。

11. 绑定一下子域名，在原域名后面追加一条即可。

12. 访问一波新加的域名：http://s3.thetoppers.htb/，可以看到返回内容为 {"status": "running"}，说明成功(题目中其实也提到了该域名)。s3域名的一般为aws服务
    

13. 配置一波aws, 执行命令： aws configure ,配置的值任意,我的是test
    

14. 列出目标的存储桶和对象，执行命令：aws s3 ls --endpoint-url http://s3.thetoppers.htb s3://thetoppers.htb
    –endpoint-url：指定要将请求发送到的 URL。对于大多数命令，AWS CLI 会根据所选服务和指定的 AWS 区域自动确定 URL。但是，某些命令需要您指定账户专用 URL
    
    14. 通过结果我们发现一共有三个，.htaccess和index.php和image目录

15. 下面我们就要上传webshell了，执行命令：aws s3 cp /home/kali/Downloads/server/shell.php --endpoint-url http://s3.thetoppers.htb s3://thetoppers.htb
    这里的 shell我用的是冰蝎4.1自带的shell

16. 接下来使用冰蝎连接中的反弹shell功能配合msf进行操作然后找flag。