文章总结： 本文详细记录了HTB靶机Reactor的渗透测试过程，包括信息收集发现Next.js应用、利用漏洞反弹shell、横向移动获取数据库密码并解密、最终通过nodeinspect调试实现提权。关键发现是Next.js漏洞和弱密码，可操作建议是加强应用安全配置和密码强度。 综合评分： 85 文章分类： 渗透测试,红队,内网渗透,漏洞分析,安全工具

HTB 靶机 Reactor

原创

时时安全 时时安全

时时安全

2026年6月7日 09:55 安徽

在小说阅读器读本章

去阅读

信息收集

sudo nmap 10.129.245.214
Starting Nmap 7.95 ( https://nmap.org ) at 2026-06-07 07:23 +08
Nmap scan report for 10.129.245.214
Host is up (0.10s latency).
Not shown: 998 closed tcp ports (reset)
PORT     STATE SERVICE
22/tcp   open  ssh
3000/tcp open  ppp

Nmap done: 1 IP address (1 host up) scanned in 1.79 seconds

然后直接访问3000端口

发现是一个监控系统，看一下指纹信息

whatweb http://10.129.245.214:3000/
http://10.129.245.214:3000/ [200 OK] Country[RESERVED][ZZ], HTML5, IP[10.129.245.214], Script, Title[ReactorWatch | Core Monitoring System], UncommonHeaders[x-nextjs-cache,x-nextjs-prerender,x-nextjs-stale-time], X-Powered-By[Next.js]

发现一个很明显的next.js，直接用next.js 的漏洞利用工具尝试

漏洞利用

发现可以成功利用，那么就可以直接反弹shell

横向移动

然后发现当前目录下面有一个数据库文件 可以成功连接，然后就可以查询用户了 发现是md5,尝试去解密

engineer
reactor1

admin用户的没有查到，但是engineer用户查到了，成功使用ssh连接

node inspect提权

使用

ps aux

发现 这个服务是本地9229端口，是以root用户运行的，那么端口转发一下，然后google浏览器进行连接

chrome://inspect

然后点击控制台就可以进行调试了

require('child_process').execSync('id').toString()

成功拿到权限

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：时时安全 时时安全 时时安全《HTB 靶机 Reactor》