记一次vulnhub|渗透测试Five86-1

vulnhub Five86-1

---

• 0X01 Main Point
  1.sploitdb的使用
  2.crunch字典生成和john爆破的混搭
  3.利用kali进行SSH和靶机连接
  4.sudo -l查看用户被授予其它权限的文件
• 0X02 前期嗅探和端口探测
  arp-scan -l得到靶机IP：
  
  nmap -sS -A -p- 172.20.10.3扫描靶机IP的端口开放情况：
  10000端口值得引起注意，登录需要密码。
  
  先访问80端口，发现没有任何东西，国际惯例扫目录即可。
  
  查看robots.txt发现/ona/目录，只是普通用户，是opennetadmin。

OpenNetAdmin是一个IP网络地址和主机管理系统，拥有轻爽的Ajax接口，我们查看其版本：v18.1.1

sploitdb查看有无其历史版本的漏洞可以利用：

正好有Metasploit接口的脚本可以利用，但是kali本地上搜索不到此脚本，下载后把它放在/usr/share/metasplot-framework/modules/exploits/，这是metasploit存储脚本的地方。reload_all 重新加载msf即可，搜索脚本名称利用该脚本。

将各种需要的配置设置好之后exploit，成功得到www-data用户的shell:

ls -la查看隐藏文件，发现一个可疑文件，打开后得到hint:

密码长度是10，且包含aefhrt，使用crunch生成口令字典，再利用john进行爆破。

• Crunch是一种创建密码字典工具，按照指定的规则生成密码字典，可以灵活的制定自己的字典文件。使用Crunch工具生成的密码可以输出到屏幕，保存到文件、或另一个程序。由其在渗透测试需要爆破的时候，字典的编排等直接影响到我们的爆破速度，对整个渗透测试流程起着十分重要的作用。

使用语法和参数：

 crunch <min> <max> [options]

详细使用：

     max    设定最大字符串长度（必选）
     
     oprions
     -b     指定文件输出的大小，避免字典文件过大  
     -c     指定文件输出的行数，即包含密码的个数
     -d     限制相同元素出现的次数
     -e     定义停止字符，即到该字符串就停止生成
     -f     调用库文件（/etc/share/crunch/charset.lst）
     -i     改变输出格式，即aaa,aab -> aaa,baa
     -I     通常与-t联合使用，表明该字符为实义字符
     -m     通常与-p搭配
     -o     将密码保存到指定文件
     -p     指定元素以组合的方式进行
     -q     读取密码文件，即读取pass.txt
     -r     定义重某一字符串重新开始
     -s     指定一个开始的字符，即从自己定义的密码xxxx开始
     -t     指定密码输出的格式
     -u     禁止打印百分比（必须为最后一个选项）
     -z     压缩生成的字典文件，支持gzip,bzip2,lzma,7z 

crunch生成字典：

利用之前得到的douglas用户的加密密码，john进行爆破：

得到douglas用户的密码,结合之前查看/etc/passwd的结果，可以尝试SSH连接，10000端口使用该口令无法登陆，/reports网址同样需要密码，依然无法登陆，先SSH douglas用户：

ls -la没有收获,sudo -l发现douglas用户可以以jen用户使用/bin/cp命令
思路：
先echo将kali的SSH公钥写入/tmp路径下，接着sudo -u jen使用/bin/cp命令来将kali的SSH公钥复制到jen用户/home/.ssh/authorized_keys下，从而kali进行SSH登录jen用户。

ssh douglas@172.20.10.3 -p 22(这里使用的是空密码)

提示你有新的邮件，打开查看：


直接su切换moss用户：
ls -la查看有隐藏文件夹.games进入后可以打开.upyourgame：

进入后发现直接得到root权限，得到最终flag:

---

写到此处不知道10000端口的作用以及/reports目录的用途是什么，或许这道题有其他途径提权或者得到flag。