MoneyBox渗透测试

1、信息收集

1.1  ip端口扫描 

1.2  敏感目录扫描

1.3  访问页面及F12发现文文件，并访问

1.4  访问文件，发现密码

2、信息分析

2.1  由端口发现22且开启了anonymous,访问发现图片

2.2  据提示图片隐写，利用kali解密

steghide info trytofind.jpgtu--------图片解密
steghide extract -sf trytofind.jpg---------图片下载

2.3查看数据---renu

2.4依据renu,ssh服务进行暴力破解

2.5 ssh远程登录

2.6查看home目录，查看用户，发现两个用户文件，访问发现flag

2.7查找lily密码，但是权限不够，提权失败，网上查找资料

2.8依据提示，lily配置了公钥且存储在本地

2.9利用renu用户远程连接lily

ssh lily@127.0.0.1

3、总结

本次靶场练习，对提权进行了重复的联系，而且有重复了一便linux忘记密码怎样开机；对于信息的收集，要仔细分析，很可能忽视的就是线索