取证靶机之HA: FORENSICS

好久没有做靶机了，随着年纪的增长，工作的改变，对技术越来越不敏感，越来越不感兴趣了，最近看了一篇文件，正好是取证靶场，特来复现，学习一下。

下载地址：

https://www.vulnhub.com/entry/ha-forensics,570/

 查找靶机IP地址：

由于我设置的NAT模式，用nmap扫描NAT网段就行。

扫描开放端口：

 访问80端口：

点击上图获取flag按键，出现如下图片。

 怀疑是隐写。下载相关工具，进行查看，发现。。。没用

apt-get install steghide

steghide info design.gif

 果然没有那么简单，看一眼WP。噢噢噢噢，我懂了。

发现该网站存在目录遍历漏洞。

 将图片目录下载到kali。

 没下载成功，是我想的简单了，让我去问问度娘，经过和度娘深入浅出的交流，我发了一下这个命令，可以下载网站文件夹下的所有文件。

wget -r -np -nH -R index.html http://url/images

各个参数的含义：

• -r : 遍历所有子目录
• -np : 不到上一层子目录去
• -nH : 不要将文件保存到主机名文件夹
• -R index.html : 不下载 index.html 文件

 

 使用file命令查看images文件夹下jpg文件的类型及内容，发现flag1

接下来，没有思路了，没有思路怎么办，扫目录，目录能给我思路。(PS:我承认dirsearch是扫描不出tips文件的，但是。。。你们懂得。) 

 访问tips.txt文件

igolder文件：

flag.zip 

根据上述收集到的信息，需要先将PGP消息解密，然后获取到密钥进行解密。

谷歌搜索解密网站。 

解密结果

百度翻译一下。

 根据提示，构建字典。

crunch 6 6 -t for%%% -o crackzip.txt

 爆破文件。

fcrackzip -u -D -p crackzip.txt flag.zip
-u unzip -D 使用字典 -p 指定字典文件。

 得到密码for007，然后解压文件。解压出来两个文件，其中一个lsass.DMP是windowsde lsass进程文件，有windows账号密码。

查看flag.pdf文件，获取到第二个flag

 使用mimikatz抓取账号密码。

  * Username : jasoos
         * Domain   : SHERLOCK
         * NTLM     : 64fbae31cc352fc26af97cbdef151e03
         * SHA1     : c220d333379050d852f3e65b010a817712b8c176

 * Username : raj
         * Domain   : SHERLOCK
         * NTLM     : 64fbae31cc352fc26af97cbdef151e03
         * SHA1     : c220d333379050d852f3e65b010a817712b8c176

网上在线解密网站得：Password@1

 尝试用这个密码登录一下这个虚拟机。

使用 jasoos账号成功登录。

 将ssh会员升级成为msf会话

 查看

ifconfig发现该服务器上还存在另一172网段。

 添加路由，并查看路由

run autoroute -s 172.17.0.0/16
run autoroute -p

 将会员暂时隐藏到后台。

 扫描172网段存活主机。

 发现内网存活主机172.168.0.2，对该主机进行端口扫描

 发现开放了21端口，尝试ftp匿名登录。

 可以匿名登录，先回到服务器的shell当中。

 使用Python完善shell。

匿名登录172.17.0.2的ftp，发现有个pub目录，目录下有个saboot.001文件。

 

 将ftp中的saboot.001文件下载下来。

 然后再将这个文件下载到我们自己的电脑上。

根据后缀名和file文件信息，确定该文件为镜像文件。 

 

使用kali当中的autopsy进行分析。

  

 

 

 

 

 

 

 发现了两个txt文件

 在flag3.txt文件中，发现了第三个flag

 打开另一个文件

 base64解密

 继续回到服务器shell，发现home目录下还存在forensic用户，切换到forensic用户，密码使用

上述base64破解的字符串。成功切换。 

 该用户有sudo权限

 使用sudo su 获取root权限

使用grep 搜索关键字flag，在/root/root.txt文件中找到了最后一个flag。 

 

 总结：参考教程，断断续续的终于做完了这个教程。自己欠缺的还是很多，跳槽之后对技术也渐渐的失去兴趣了，或许我从来没有感兴趣过吧。不要给自己太大压力，兴趣是有的，只是多少的问题，刚开始学习的时候，内容简单，上手快，有成就感，兴趣就大，现在内容复杂，学习周期长，成就感低，兴趣就小了，但是只要坚持，坚持才是最重要的，只要不放弃，总会有到达彼岸的一天。