fourandsix 靶机

sudo arp-scan -l

搜索ip

nmap -sn 192.168.70.0/24

ping扫描网段

nmap -p- 192.168.70.144 --min-rate=5000

这⾥--min-rate 5000的意思是让nmap以不⼩于每秒5000次的速率进⾏扫描。1数字过⼤，则扫描速度

过快，有可能会有端⼝遗漏；数字过⼩，则扫描速度过慢，浪费时间。实际情况中建议扫描两次，保证

没有端⼝遗漏。-p是要扫描的端⼝，-p-则表示进⾏全端⼝扫描（1-65535）

nmap -p22,111,2049 -sC -sT -sV 192.168.70.144

参数中-sT表示进⾏TCP扫描，-sV扫描服务版本 -sC使⽤脚本进⾏扫描

NFS（Network File System）是⼀种⽤于在⽹络上共享⽂件系统的协议和服务。它允许在不同的

计算机系统之间共享⽂件和⽬录，就像它们是本地⽂件⼀样。NFS最初由Sun Microsystems开

发，现已成为⼀个⼴泛使⽤的标准。

NFS⼯作的基本原理是，⼀个主机（通常是服务器）通过NFS共享其⽂件系统，其他主机（客户

端）可以通过⽹络连接到该服务器，并挂载（mount）共享的⽂件系统，使得共享的⽂件和⽬录对

客户端可⻅和可访问。

针对2049开放的 nfs ，可以尝试进⾏挂载

showmount -e 192.168.70.144

-e表示exports，即靶机向外共享的到处列表，可以看到共享⽬录是/home/user/storage（这样也表明 靶机很可能有⼀个名为user的⽤户），同时(everyone)表明任何⼈都可使⽤此共享⽬录。因此我们可以创 建⼀个⽬录tmp/storage，尝试能否将这个共享的⽬录/home/user/storage映射到我们创建的⽬录

mkdir /tmp/storage

sudo mount -t nfs 192.168.70.144:/home/user/storage /tmp/storage

7z x backup.7z #解压发现需要密码

暴⼒破解 7z 密码

7z2john backup.7z > hash.txt # 转储为hash⽂件

john hash1.txt --wordlist=/usr/share/wordlists/rockyou.txt

得到密码chocolate

解压

发现了 私钥 id_rsa 和 公钥 id_rsa.pub

查看公钥，发现泄露了⽤户名

使⽤给的私钥进⾏登录

ssh -i id_rsa user@192.168.70.144

发现私钥也被加密了。。。。。。

然后继续破解私钥

ssh2john id_rsa > id_rsa_hash.txt

john id_rsa_hash1.txt --wordlist=/usr/share/wordlists/rockyou.txt

重新登录

sudo提权没这个命令

sudo权限是root把本来只能超级⽤户执⾏的命令赋予普通⽤户执⾏

配置⽂件是/etc/sudoers

suid提权

find / -perm -u=s -type f 2>/dev/null
find / -perm -4000 2>/dev/null

2>/dev/null这是将错误输出重定向到/dev/null的部分，这样可以避免在终端显示不必要的错误信 息 suid简介：SUID这个是uid +s的组合，s指的是特殊权限。⼀般情况下，⽤户的权限是3位，⽐如755这 样的，特殊权限默认没有配置，但是如果超级管理员希望⽤户在执⾏⼀些特殊权限⽂件时，拥有root的 权限，就会配置特殊权限 ⽐如说passwd这个命令，这个命令会修改/etc/shadow⽂件，⽽/etc/shadow只有root才能修改，本来 passwd这个命令应该也只能root才能执⾏的。但是系统为了让普通⽤户能够修改⾃⼰的密码，对 passwd这个命令赋予了特殊权限并添加了只能修改⾃⼰密码的限制 使⽤find命令快速查找所有suid⽂件

这⾥要重点关注doas这个指令，该指令类似于sudo，即以⾼权限运⾏指令需要添加的命令。由于doas指 令是具有s位的，因此使⽤doas可以以⾼权限运⾏指令。我们要查找的就是有哪些指令可以免密doas运 ⾏（即类似于ubuntu/debian的Linux运⾏sudo -l 后有哪些免密sudo的指令），这就需要查找doas的配 置信息了。我们直接⽤find搜索doas的相关⽂件

用 doas 替代 sudo - 少数派

寻找 doas 的配置⽂件

find / -name "doas.conf" 2> /dev/null

cat /etc/doas.conf

那么要如何提权呢？此处我们是使⽤less命令对authlog进⾏查看，且此时less命令是具有root权限的。 但less只能读⽂件，不能执⾏系统命令。我们知道在less中按字⺟v是可以启动vi编辑器的，⽽vi编辑器中 输⼊冒号:后即可输⼊交互的指令，⼜由于less具有root权限，在less中启动的vi编辑器应该也具有root权 限，那么我们按v进⼊vi编辑器后，输⼊:!sh应该就能够以root身份启动shell了