bluemoon靶机记录

信息收集

1.IP地址扫描

arp-scan -l

192.168.47.164

2.扫描端口服务

nmap -sV -A -p- 192.168.47.165 --open

21,22,80端口
常规信息，没看到什么敏感信息

3.目录扫描

工具有dirb dirmap dirsearch我用的这三个工具没扫到什么

看了Wp用的是gobuster工具扫描的，扫到了东西 — 这个工具也是依据字典的，且默认字典很大，时间还是相对长的

扫到了一个 hidden_text目录

题解

访问hidden_text目录，得到一个二维码扫描得到一个账号密码

userftp/ftpp@ssword

用在什么地方，观察内容ftp和扫描到的开放端口21（ftp服务） ------ ftp的账号密码

ftp登录进去

ftp 192.168.47.164

ls命令查看有两个txt文件，get直接获取

通过查看两个文件，得到用户名robin及其密码的字典

利用hydra来爆破登录ssh

hydra -l robin -P p_lists.txt ssh://192.168.47.164

robin/k4rv3ndh4nh4ck3r

ssh成功登录进去

一进去就得到了一个flag(user-1.txt)

接下来应该就是提权部分了

找什么文件呢？我一眼就看到了sudo

结合这个sudo -l得到的jerry权限下的文件 无密码，配合sudo具有suid权限，直接获取jerry的shell

sudo -u jerry ./feedback.sh

用python3 -c 'import pty;pty.spawn(“/bin/bash”);'获得一个终端页面（好看）

后面提权到root部分

利用的sudo 配合 docker命令 提权（我这里用jerry用户使用sudo命令需要密码 – 不知道为什么）

https://gtfobins.github.io/gtfobins/docker/

参考资料

gtfobins.github.io/gtfobins/docker/

[外链图片转存中…(img-tgc6uDjC-1725980690578)]

参考资料

https://blog.csdn.net/Aluxian_/article/details/134058545