vulnhub-d0not5top靶机渗透流程

已于 2024-07-19 09:00:47 修改
阅读量901 收藏 19
点赞数 19
文章标签： 安全 系统安全 web安全 密码学
于 2024-07-18 17:29:47 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/nwonknu16/article/details/140488066
版权

本次靶机渗透流程参考已有wp：https://www.hackingarticles.in/hack-d0not5top-vm-ctf-challenge/

文章目录

靶机概述

靶机地址：https://www.vulnhub.com/entry/d0not5top-12,191/

在这里插入图片描述

一共七个flag

一、前期扫描

确认靶机ip与开启服务、端口

在这里插入图片描述

在这里插入图片描述

二、网站扫描

开启了80端口，先扫下网站目录

在这里插入图片描述

东西真不少，先看看robots.txt和dirs.txt

在这里插入图片描述

在这里插入图片描述

在这俩文件中发现了更多路径，看robots.txt的提示似乎要修改USER-AGENT

访问后发现只有control下有东西，貌似是个dashboard

在这里插入图片描述

在该页面源码中发现第一个flag：FL46_1:urh8fu3i039rfoy254sx2xtrs5wc6767w，以及一段可疑的信息

在这里插入图片描述

在这里插入图片描述

信息中提到了D0Not5topMe.ctf，看上去就像个域名，结合页面的dns和扫描到53端口，大概率需要绑定域名

不过在那之前，这里还有个藏得很深的flag2，根据源码的跳转链接可以知道该路径下还存在js、css等子路径

访问/control/js，可以发现一个信息中提到的字眼MadBro的文件

在这里插入图片描述

点进去会看到加密后的flag

在这里插入图片描述

这个flag的数字部分经过了二进制编码，解密后得到第二个flag：FL46_2:39331r42q2svdfsxk9i13ry4f2srtr98h2，这里解密需要注意换行后按新的部分进行单独解码

README.MadBro页面中再次强调了D0Not5topMe.ctf，很明显，我们下一步要进行域名绑定，但我们这里先按照flag的顺序进行，而flag3与之前扫描到的25端口的smtp服务有关

三、smtp信息泄露

nc去连接25端口，返回了一串16进制加密的数据

在这里插入图片描述

xdd解密后获得第三个flag：FL46_3:29dryf67uheht2r1dd4qppuey474svxya

在这里插入图片描述

四、D0Not5topMe.ctf域名信息搜集

先进行域名绑定，再访问D0Not5topMe.ctf域名

在这里插入图片描述

这里不知道为啥我的真实机死活访问不上这个域名，换了几个浏览器都不行。我试了下kali的才成功访问到

在这里插入图片描述

在这里插入图片描述

通过页面底部信息可以知道是phpBB站，尝试了大量已知漏洞进行验证均不成功。没办法，只能慢慢从源码中找信息

在点击了注册跳转到注册须知页面后，我在源码发现了一个可疑的路径FLaR6yF1nD3rZ_html

在这里插入图片描述

在这里插入图片描述

访问该路径就能看到熟悉的brainfuck加密

在这里插入图片描述

解密后得到第四个flag：FL46_4:n02bv1rx5se4560984eedchjs72hsusu9

在这里插入图片描述

回到注册页面，点击接受协议跳转到信息填写页面，在下方一个高亮的超链接可以看到一个邮箱地址mailto:Megusta@G4M35.ctf在这里插入图片描述

其中邮箱地址的后半部分G4M35.ctf与域名很相似，猜测是新的需要挖掘的域名

至此D0Not5topMe.ctf域名探索完毕，这个部分可能看上去很难找到线索，但后续查看相关wp发现其实是有给出提示的，只不过英语水平太差没办法解读

可以看到主页这里有一条信息，摘抄如下：
Worka Suko Gameo Di Besto
emay ayingplay uchmay amesgay ownay egistrarioray arnay edsay emay emailway ayay egustomay otay indfay away eomay ideyhohay
在这里插入图片描述

这其实是一种Pig Latin，即英语中的儿童黑话，根据wp中给出的翻译，其英文原意为me playing much games now registrario rna sed me wemail a megusto to find wa meo hideyho

其中提到的registrario（注册）与wemail（邮件）正是这个域名下的flag所在和通往下一个域名的线索

五、G4M35.ctf域名信息搜集

先按照惯例把域名进行绑定

在这里插入图片描述

然后看看这个域名网站长什么样，是个3D的躲避障碍类游戏

在这里插入图片描述

虚拟机里玩卡得要死，还是专心找找线索吧，网页源码中发现应该是游戏主程序的game.js路径

在这里插入图片描述

在game.js中发现可疑路径/H3x6L64m3

在这里插入图片描述

访问，又是个游戏，这次是看上去应该是个类雷电的弹幕游戏？

在这里插入图片描述

这里我重新看了下真实机的hosts文件，准备加G4M35.ctf域名试试能不能正常访问，结果发现原来上个域名绑定后访问不到是因为把192.168.7.164输成了192168.7.164，给我自己都逗笑了

在这里插入图片描述

改好后访问http://g4m35.ctf/H3x6L64m3/，发现没法正常开始游戏，还是得看源码

在这里插入图片描述

源码中发现了两个重要线索，一个提示我们追踪texture，另一个则是游戏主文件Gameplay.js的路径

在这里插入图片描述

在这里插入图片描述

猜想texture是路径，试试访问

在这里插入图片描述

没有？加个s呢

在这里插入图片描述

这里面一堆图片，感觉这游戏应该是能玩的，可能没加载出来
在某个素材图片中发现一段八进制加密信息:106 114 64 66 137 65 72 60 71 153 70 67 150 66 147 64 145 62 65 147 150 64 64 167 141 61 162 171 142 171 146 151 70 71 70 150 156 143 144 164

在这里插入图片描述

cyberchef解密后得到第五个flag：FL46_5:09k87h6g4e25gh44wa1rybyfi898hncdt

在这里插入图片描述

接着来看看游戏主文件，我已经发现了域名的规则都是.ctf结尾，果不其然发现第三个域名t3rm1n4l.ctf

在这里插入图片描述

六、t3rmln4l.ctf域名信息搜集

绑定域名后访问，是个网页的终端界面

在这里插入图片描述

在这里插入图片描述

提示需要密码进行认证，尝试了下发现域名t3rmln4l.ctf即是认证密码

在这里插入图片描述

认证通过后发现很多命令不可用，且执行一次非法命令后需要重新认证

在这里插入图片描述

一个个测试太麻烦。用burp抓包后对command进行模糊测试

在这里插入图片描述

根据结果可以看到uname、id、pwd和grep命令可使用

在这里插入图片描述
在这里插入图片描述

那试试grep能看到什么，输入grep *，发现新域名M36u574.ctf

在这里插入图片描述

七、M36u574.ctf域名信息搜集

这是我绑的域名最多的一个靶机了

在这里插入图片描述

进去之后是一堆精污鬼图的循环播放

在这里插入图片描述

选取页面元素可以看到鬼图的存放路径在images下

在这里插入图片描述

不过我们没办法直接访问到images文件夹一览图片

在这里插入图片描述

返回首页一张张看元素，发现个名字不太一样的，其他的图片名格式都是megusta00x.jpg，这张却叫kingmegusta.jpg

在这里插入图片描述

直接去images下找到并下下来

在这里插入图片描述

file命令看下这个图片的信息，发现一串base64密文

在这里插入图片描述

解密后得到一个类似/etc/shadow的linux用户密码的加密组

在这里插入图片描述

用john破解得到MeGustaKing:**********的组合，此处指定rockyou字典会快很多

在这里插入图片描述

八、MeGustaKing用户信息搜集

ssh登入MeGustaKing用户

在这里插入图片描述

登进去无法执行任何命令就把我踢出来了，不过给了些信息，其中有段base64密文，破解一次后去掉前后的乱码部分再进行一次base64解密得到第六个flag：FL46_6:pqpd2jfn4ruq1obyv3thw848te67tejey

在这里插入图片描述

在这里插入图片描述

再回过去看之前给的信息，发现提供了另一个用户名burtieo在这里插入图片描述

用hydra对burtieo用户进行爆破

得到密码Lets you update your FunNotes and more!，幽默的是其实这个密码在登录信息里也有，但我实在不觉得有多少人能一下子想到这么长一段话是密码

在这里插入图片描述

九、rbash逃逸

登录burtieo用户，输入命令发现是在rbash环境

在这里插入图片描述

rbash环境会限制我们使用的命令，有很多种逃逸方法，这里我是利用bash_cmds自定义shell导出到环境变量来完成逃逸的

BASH_CMDS[a]=/bin/sh;a 
export PATH=$PATH:/bin/
export PATH=$PATH:/usr/bin

在这里插入图片描述

十、sudo命令导致的高危端口漏洞利用

sudo -l看看，发现NOPASSWD命令/usr/bin/wmstrt

在这里插入图片描述

因为没有stings命令看不出调用了什么其他命令或者库，直接sudo运行下试试

在这里插入图片描述

在这里插入图片描述

在这里插入图片描述

该命令执行后会显示将会有20秒的时间，接着开始倒数，归零后显示一段话，大意为你抓住机会了吗

这里我思考了好一会儿，20s的时间限制会是什么，答案是端口/服务的开启时间，这个命令很可能是开启某个端口20秒钟，因此后台准备好nmap后sudo执行命令，在显示提示信息后立刻开始扫描

在这里插入图片描述

果然多出了一个端口，10000，这个端口一般是webmin服务，msf中有相关的漏洞利用

这里用远程文件读取的利用脚本，设定好参数后再次sudo执行命令，在出现提示信息后立刻执行脚本

在这里插入图片描述

在这里插入图片描述

失败了，查看报错应该是要开启ssl参数，重新设置后再来一遍

在这里插入图片描述

成功读取到/etc/passwd，那接下来试试能不能读到/etc/shadow和/root/.ssh/id_rsa

在这里插入图片描述

在这里插入图片描述

两次尝试都成功了！那这里我们可以选择john破解root密码或者john破解id_rsa密码，我这里选择了更快的破解id_rsa文件

在这里插入图片描述
在这里插入图片描述

十一、root可执行文件的信息泄露利用

使用id_rsa和认证码gustateamo登录，这里一开始没成功，新建config文件后添加接受以 ssh-rsa 格式签名的公钥进行身份验证的配置后成功登录

在这里插入图片描述

在这里插入图片描述

发现FL461N51D3文件，但是二进制可执行文件，且没有strings命令可以查看

在这里插入图片描述

直接运行FL461N51D3文件提示错误密钥，还有个000权限的perl文件L45T_fl46.pl可以查看下

在这里插入图片描述

在这里插入图片描述

在这里插入图片描述

看了下，大致是一个类似反弹shell的连接命令，会将验证后FL461N51D3文件的输出显示到连接端

那nc监听端口后运行该命令指定ip与端口，即可获得最后的第七个flag：FL46_7:9tjt86evvcywuuf774hr88eui3nus8dlk

在这里插入图片描述

在这里插入图片描述

只鱼Sekiyo
关注
  • 19
    点赞
  • 踩
  • 19
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
[网络安全自学篇] 六十五.Vulnhub靶机渗透之环境搭建及JIS-CTF入门和蚁剑提权示例（一）
杨秀璋的专栏
04-10 1万+
这是作者的网络安全自学教程系列，主要是关于安全工具和实践操作的在线笔记，特分享出来与博友们学习，希望您们喜欢，一起进步。前文分享了SMBv3服务远程代码执行漏洞（CVE-2020-0796），攻击者可能利用此漏洞远程无需用户验证，执行恶意代码并获取机器的完全控制。本文将详细讲解Vulnhub靶机渗透的环境搭建和JIS-CTF题目，采用Nmap、Dirb、中国蚁剑、敏感文件分析、SSH远程连接、Shell提权等获取5个flag。由于hack the box速度堪忧，作者选择了Vulnhub靶场，希望深入分析来
vulnhub靶机之EVM
timesleep的博客
11-30 778
拿到我们的靶机我们首先扫描并确定靶机IP 发现这个靶机为153然后使用nmap扫描 看到靶机有80端口然后先访问一下 看到只是一个apache界面使用扫描一下目录 我们发现靶机有wordpress框架,然后使用wpscan工具扫描这个框架. wpscan --url http://192.168.34.153/wordpress -e ap -e at -e u 我们看到了一个用户c...
渗透测试学习之vulnhub系列靶机——DC1
jingzhou_666的博客
06-09 1794
Vulnhub是一个提供各种漏洞环境的靶场平台，供安全爱好者学习渗透使用，大部分环境是做好的虚拟机镜像文件，镜像预先设计了多种漏洞，使用VMware即可直接运行。Drupal 是一个灵活的，基于 LAMP 技术栈的 CMS，它的模块化设计，允许通过安装和卸载模块的方式 添加和移除功能，同时，允许通过安装和卸载主题改变整个网站的视觉感观。在kali当中使用msf查看一下针对这个cms有哪些具体的模块可以使用使用模块弹出 meterpreter >代表利用成功可以继续进行后渗透3、漏洞利用。
看完这篇 教你玩转渗透测试靶机vulnhub——EvilBox-One
Aluxian_的博客
07-15 5475
Vulnhub靶机Web1渗透测试详解Vulnhub靶机介绍：Vulnhub靶机下载：Vulnhub靶机安装：Vulnhub靶机漏洞详解：①：信息收集： Vulnhub靶机介绍： vulnhub是个提供各种漏洞平台的综合靶场，可供下载多种虚拟机进行下载，本地VM打开即可，像做游戏一样去完成渗透测试、提权、漏洞利用、代码审计等等有趣的实战。 老样子需要找到flag即可。 Vulnhub靶机下载： 官网地址：https://download.vulnhub.com/evilbox/EvilBox—One.ova
DAY29（DAY30拓展）：Vulnhub--靶机实战
qq_49433473的博客
08-12 2192
Vulnhub DC-1、DC-2靶机通关手册
Vulnhub靶机渗透测试 DC-8靶机
12-07
Vulnhub靶机渗透测试 DC-8靶机
Vulnhub靶机渗透测试 DC-3靶机
12-07
Vulnhub靶机渗透测试 DC-3靶机
Vulnhub靶机渗透测试 DC-7靶机
12-07
Vulnhub靶机渗透测试 DC-7靶机
Vulnhub靶机渗透测试 DC-9靶机
12-07
Vulnhub靶机渗透测试 DC-9靶机
Vulnhub靶机渗透测试 Five-1靶机
12-07
Vulnhub靶机渗透测试 Five-1靶机
VulnHub打靶のLazySysAdmin
壊壊的诱惑你的博客
10-09 1417
靶机地址： https://drive.google.com/uc?id=0B_A-fCfoBmkLOXN5Y1ZmZnpDQTQ&export=download nmap -sP 或netdiscover -r 扫描目标机：这里192.168.1.159为目标机。 nmap开路扫描全端口： root@Kali-X86:~# nmap -sV -p- 192.168.1.159 St...
vulnhub靶场渗透学习-JIS-CTF
博闻强记，慎思笃行
04-17 3858
实验环境 攻击机：KALI 目标机：JIS-CTF 使用Vmware虚拟机中NAT网络 网段为192.168.1.0/24 解题过程 基本信息探测 netdiscover -r 192.168.1.0.24 可以看到靶机地址是192.168.1.132 nmap -A 192.168.1.132 可以看到靶机开放了两个端口 22 和80 对...
20台靶机小结(vulnhub和HTB)
weixin_46128614的博客
02-14 680
稀里糊涂就做了20台靶机了，从一开始的小白到现在稍微有一点感觉，觉得自己进步了一点，总的来说还是很菜。由于基础差，对linux和windows机制不太熟悉，很多靶机都是照着师傅们的wp做出来的，记录其中的一些脑洞和操作， 一、信息收集 1.在整个渗透过程中，收集到的账号密码全部保存为user.txt和pass.txt，遇到有需要账号认证的地方（ssh、后台、数据库、FTP等等）就爆破一下，说不定拿...
vulnhub靶场实战：DC-1
huangyongkang666的博客
04-18 4483
vulnhub实战：DC-1 1.DC-1介绍 DC-1是一个专门构建的易受攻击的实验室，目的是在渗透测试领域获得经验。 它旨在为初学者带来挑战，但它的容易程度将取决于您的技能和知识以及您的学习能力。 要成功完成此挑战，您将需要Linux技能，熟悉Linux命令行以及具有基本渗透测试工具的经验，例如可以在Kali Linux或Parrot Security OS上找到的工具。 有多种方法可以获得root，但是，我包含了一些包含初学者线索的标志。 总共有五个flag，但最终目标是在root的主目录中找到并读取
Vulnhub靶机:DC-4渗透详细过程
IerkeU的博客
02-28 1881
基本步骤 前言提要： 靶场地址：DC: 4 ~ VulnHub DC-4是一个初中级的靶场，需要具备以下前置知识： 基础的Linux命令及操作 基础的渗透测试工具使用（Kali / Parrot下的工具） 这次练习的靶机是vulnhub平台下的DC系列靶机第四台，该靶机的难度系数为简单，拿下该靶机的关键就是需要收集信息，最终目的是获取root权限，拿到flag。 步骤： 信息收集 nmap 192.168.132.0/24 目标靶机ip：192.168.132.150 全面扫描 n
访问网站显示不安全怎么办？
joySSL_的博客
08-02 733
如果您还在使用http协议，那基本上所有的主流浏览器都是都不安全提示需要给网站安装部署一个SSL证书，有预算的话可以使用付费SSL证书，没有预算的话免费SSL证书也可以实现HTTPS。网站的SSL证书过期，或者域名不匹配，解决方式是点击右上角锁头标志查看证书，检查和更新证书，确保它有效、完整。网站被举报含有钓鱼、欺诈等非法问题，解决方法是联系报告方，证明网站已安全，同时全面检查网站，清除隐患。访问网站时显示“不安全”，针对不同的原因有不同的解决方式，下面是常见的几种原因和对应的解决办法。
Linux安全与高级应用（四）深入探索MySQL数据库：安装、管理与安全实践
最新发布
洛秋的博客
08-07 1077
Linux：作为操作系统，提供稳定的运行环境。Apache：作为Web服务器，处理HTTP请求。MySQL：作为数据库管理系统，存储和管理数据。：作为脚本语言，生成动态网页。LAMP平台的优势在于其成本低廉、可定制性强、易于开发、方便易用且安全稳定。这使得LAMP成为许多企业和开发者的首选平台。通过以上步骤，我们完成了LAMP平台的部署及其主要组件的配置和测试。LAMP平台的搭建不仅为Web开发提供了一个强大的环境，同时也展现了其在成本和效率上的优势。
应急响应-主机安全之系统及进程排查相关命令（Linux操作系统-初级篇）
关注网络安全、云原生安全
08-07 920
本文介绍下在应急响应过程中，linux系统下排查系统、进程、服务可能用到的命令，有些命令选项很多，读者可以仅看常用选项。不涉及内存、进程注入、rootkit等高级攻击的排查。常用-n参数，n为展示的数量systemctl命令 是系统服务管理器指令，它实际上将 service 和 chkconfig 这两个命令组合到一起。任务旧指令新指令使某服务自动启动使某服务不自动启动检查服务状态systemctl status httpd.service （服务详细信息）
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值