Rickdiculously Easy

        光听名字就知道是入门级别的机器了。这个机器跟一部动画有关，如果你有看过的话就更好玩了，我没有看过，所以可能作者的有些point我get不到。总结就是一台新手向的CTF机器。

What will cover:

        CTF , SSH , Command Injection Execution , Online password attack , wordlist generation (using crunch) , Bash CGI Code Review , Shellshock ?

Start:

          Nmap 输出大概是这样：

sacn result

        果然是新手向的靶机，轻轻一跃就能摘到果实。

        引起我兴趣的是60000居然写的是个shell ? 

60000

        还确实是个shell 不过出不去，拿了个flag。到这里收获大概是这样：

port - 13337

        FLAG:{TheyFoundMyBackDoorMorty}-10Points

port - 60000

        FLAG{Flip the pickle Morty!} - 10 Points

        转去看别的。22 和 22222 都是SSH，会不会有什么问题呢？ 但check 过下版本，没觉得哪里不妥，尝试分别以登录，发现22似乎不能用密码登录。

    nmap -p 22 -sV --script ssh-auth-methods --script-args="ssh.user=root" 192.168.10.131

22

        如果是这样的话那就是要找密钥的节奏啊。再看看22222：

nmap -p 22222 -sV --script ssh-auth-methods --script-args="ssh.user=root" 192.168.10.131

22222

        22222没问题，可以用密码。

        再去看看别的:9090:

9090

        flag直接送！9090是一个叫Cockpit的监控工具，但这里貌似是坏的，没法登录。

        FTP是可以匿名登录的，又轻松拿到一个：

21

        但是不可写，没啥用。OK 至此拿到4个flag:

4 flag

        接下来将是最有趣的80了。

80

        打开就是carton人物。在robots.txt找到两个路径：

robots.txt

        看到第一个眼前一亮，但打开却是个under construction，第二看到就想到命令执行了，burp开一下：

id

        通过这个命令执行我可以浏览passwd但cat很显然是被做了手脚，用less可以替代，拿到passwd之后检查出这几个账户：

passwd

        通过命令执行还可以浏览到web目录的结构：

/var/www/html

        还可以获取apache的配置文件

        之后我一心想通过这个命令执行pop shell但多翻尝试都无果，包括直接拼接命令、urlencode命令、web目录似乎不可写，所以echo写webshell和wget下载webshell都行不通。尝试echo 写tcpshell到/var/www再执行，发现虽然目录可写，但写入不成功。用nc测试回连本地端口发现没反应，防火墙做了策略(后面证实并没有)，于是结合22端口的密钥登录设想会不会有帐号配置有密钥，尝试本地SSH登录：

ssh Morty@localhost id

ssh RickSanchez@localhost id

        但均没有反应。。。。。。

        纠结了很久，后面发现在passwords目录下藏了一个密码:        

passwords.html

        结合passwd中提取出来的账户名整理出username.txt然后用hydra爆破一下：

hydra -L ./username.txt -p winter ssh://192.168.10.131:22222

winter

        有戏。Summer登上后拿到Summer的Flag，发现home下大概是这样：

home

    Morty的目录下拿到一个密码，解压文件后拿到一个flag

        其实如果前面有一直整理所有获得的flag你会发现这个flag有点特别。。。。。。

        safe文件执行一下似乎是个解密的东西，一开始我找字符串，但是没有收获，我甚至还使用nc将其下载到本地机器上做了一下分析，然后往ctf的方向想是不是文件夹的名称但也不是，收集了很久整理了几个词都不对，其实就是用上一个flag来解。解密后发现有一个关于RickSanchez用户密码的提示，提到了一支band，但我没有看过动画所以只能google了，然后生成字典：

crunch 7 7 -t ,%Flesh >> rick.pass

crunch 7 7 -t Flesh,% >> rick.pass

crunch 7 7 -t %,Flesh >> rick.pass

crunch 7 7 -t Flesh%, >> rick.pass

crunch 10 10 -t ,%Curtains >> rick.pass

crunch 10 10 -t Curtains,% >> rick.pass

crunch 10 10 -t %,Curtains >> rick.pass

crunch 10 10 -t Curtains%, >> rick.pass

        band队叫做：Flesh Curtains 好了拿去爆破一下：

    good 很顺利就拿到了

      然后可以拿到root. 总结一下拿到的所有的flag:

Bash CGI Code Review:

    这次很关键的一个突破口在于vulnerable的cgi去看看：            

       就是一个form表单采用GET方法，QUERY_STRING部分就是请求的url中?后面跟的参数

curl -s -vv localhost/cgi-bin/tracertool.cgi?ip=127.0.0.1

        比如这个例子，QUERY_STRING就是ip=127.0.0.1 而对QUERY_STRING处理后得到IP，这个处理并不严格而导致了命令拼接，简单做个修复可以在IP后面在做一个关键字的截断处理：

for bad in ';' '&' '|';do IP=`echo $IP|cut -d $bad -f 1`;done

        其实还可以考虑Shellsock但这个bash的版本不受影响而且过滤了;以后也不一定能exp.回顾一下前面无法popshell的原因很有可能是命令产生了歧义吧。再继续的话还可以在写写通过命令注入读到apache配置文件分析但在这里不是很有必要。

Review

        事后反省之所以urlencode失效原因应该是因为这只是一个bashCGI，其次web中能操作的只是apache用户，这个帐号的权限能否建立连接也是一个问题，第三点就是web中tcpshell常见的断连，一回连上来就会马上断掉。

      

     OK 今天就到这里