MazeSec-Cuan

原创

識.
識.

0xNyx

2026年8月21日 16:43
安徽

在小说阅读器读本章

去阅读

8.19

本地部署并访问靶机

nmap扫一下端口，开放22  open  ssh80    open  http      ← \"前线大作战\" 游戏8001  open  gossa     ← 关键入口访问80端口

访问8001端口看看，这是一个gossa 文件服务器，就是一个文件编辑器

可以在github上看到源码安装feroxbuster

feroxbuster扫一下8001端口的目录

看到了login.php，config.php,index.html,info.php四个页面查看login.php，发现是后台管理登录

爆破发现不行，应该不能硬爆这个时候去github看看这个 gossa  的源码和相关内容发现

看到了/post可以上传文件。/rpc运行 JSON-RPC（支持 mv、rm、mkdirp）。/能看到 文件列表 和?editor=xxx。

8001 gossa 源码审计看到路径穿越漏洞

RPC mv 偷 config.php成功拿到数据库凭据

浏览器可以看到数据库的密码账户

用户名: radiant密码:   QixXQ8jeJDzDv5lQ4rLi

拿到user的flag，下面进行提权sudo -i进行密码测试

不行，对dpkg,midir进行测试收集信息看sudo版本，是1.9.17。猜到是CVE-2025-32463，利用poc

wegt下载漏洞的zip

在kali中下载漏洞zip利用scp上传到目标机

cd到cve文件夹，ls-la看内容。chmod利用sh

提权成功

获取flag

学习技术点：CVE-2025-32463

这个漏洞利用的是 sudo 的 -R / --chroot 选项。这个选项从 sudo 1.9.14 开始引入，本意是让用户在隔离的 chroot 环境中执行 root 权限命令。核心问题：sudo 在进入攻击者控制的 chroot 环境后，在检查 sudoers 权限之前就加载了该环境下的 /etc/nsswitch.conf，从而触发 glibc NSS（Name Service Switch）机制。