Backend

---

外部信息搜集

端口扫描

循例nmap

Web枚举

feroxbuster

这个结构与这个靶机第二个版本基本一致

/user

创建个账号

登录

burp添加请求头

/docs

看到有个可以修改密码的api，先查询admin的guid

尝试修改admin的密码

登录admin

Foothold

exec需要debug，现在我们只能任意文件读取

读/proc/self/status

读父进程cmdline

可以得知/home/htb/uhc/app/main.py

从main.py跟到app/core/config.py，拿到jwt的secret

解码jwt后添加debug字段，再用secret转jwt

burp更换header后再次exec

常规python reverse shell base64

本地权限提升

auth.log

发现一个密码

它不是htb的密码，直接就是root的