Easy Peasy
练习使用诸如Nmap和GoBuster之类的工具来查找隐藏目录,以初步访问易受攻击的计算机。然后通过易受攻击的cronjob升级您的特权
常规操作,先Nmap扫一波端口,开放了80端口,65524高危端口。ssh服务也被改到了6498端口
![](https://i-blog.csdnimg.cn/blog_migrate/ba2aa435a421d0e5a9519a5c047c1dba.png)
先访问80端口,是个nginx的默认页面。
![](https://i-blog.csdnimg.cn/blog_migrate/02d6d1efecf47e368d440e28b4ce6139.png)
上来就是dirb先扫一波目录,探测到hidden目录,hidden下还有一个子目录whatever。一个个来
![](https://i-blog.csdnimg.cn/blog_migrate/e95d5824084a8376068514170a1d7070.png)
访问一下是个像是通往地下室的门的图片
![](https://i-blog.csdnimg.cn/blog_migrate/c82fc8d0e0e45b91423f40d8d536a2d5.png)
查看一下源码,没有发现有价值的线索
![](https://i-blog.csdnimg.cn/blog_migrate/9953d37f8d6b0cc89b96185a89fdd41f.png)
再访问/hidden/whatever目录,下面是张旅行的照片,风景还不赖
![](https://i-blog.csdnimg.cn/blog_migrate/432baa758dc8ef5771e5391e6a70141b.png)
还是照例查看一下源码,发现一个hidden标签里有一串像是base64编码的字符
![](https://i-blog.csdnimg.cn/blog_migrate/96d39cbd568b87227368b8b5549a6e30.png)
用burp解下码,获得第一个flag
![](https://i-blog.csdnimg.cn/blog_migrate/9168b9c43112b5c675fd86dfa3e57309.png)
顺手把两张图片用wget下载下来。用sexiftool和teghide查看图片是否有隐写的内容。果然没有!
![](https://i-blog.csdnimg.cn/blog_migrate/43a23d32b9898b0b53383085eccb8075.png)
接着就是访问65524端口的apache服务,用dirb扫了目录,发现有robots.txt文件。查看发现里面有一串编码
![](https://i-blog.csdnimg.cn/blog_migrate/fb9fbf67b69563e6a8543e31038a9632.png)
解密为MD5,内容为第2个flag
![](https://i-blog.csdnimg.cn/blog_migrate/303eb8beeb79676c90dded3089817f6a.png)
接下来就是查看源代码的时候,在注释标签的上面又发现一串编码。
刚开始找这个编码找了半天都没结果,后来反过头来
在前面给的线索中貌似是ba...什么的。猜测是base类的编码
![](https://i-blog.csdnimg.cn/blog_migrate/b9d5b3e82ab132dd62aea87039438d64.png)
在上面的网站把baes编码试了个遍,终于用base62编码试出了一个目录
![](https://i-blog.csdnimg.cn/blog_migrate/1979d5740253fde9346ad6fb25c2c362.png)
这个“隐藏”目录里面是一张图片,没有其它内容
![](https://i-blog.csdnimg.cn/blog_migrate/85963d338238dbed3d7600ac4cbb9f18.png)
查看源代码,又出现一段hash,这个又得去分析。
![](https://i-blog.csdnimg.cn/blog_migrate/42d91883175a3181a2a37af65eb33a1f.png)
直接扔到
https://md5hashing.net/网站上解密,过了一段时间就出现明文了。这“密码”是干上面的呢?
![](https://i-blog.csdnimg.cn/blog_migrate/4800bc71a07d926f6ef504302ffe115a.png)
还是把隐藏目录下的二进制图片下载下来分析
![](https://i-blog.csdnimg.cn/blog_migrate/d3b76cd79d42d1242fa332baace175e7.png)
用exiftool查看没有发现,有同steghide提取时输入上面获取的密码居然提取出一个TXT文件
![](https://i-blog.csdnimg.cn/blog_migrate/e58a0b86f051803a30a6ba3335f6a239.png)
查看txt文件是一串二进制代码,上面还有个账号,估计就是ssh账号了
![](https://i-blog.csdnimg.cn/blog_migrate/be4d9d546ef03e5628a80dfe777b0aeb.png)
在这个网站把二进制扔进去就可以获得对应的ascii码对应的字符
![](https://i-blog.csdnimg.cn/blog_migrate/f9915a875161d8d32f30dfd786137f9b.png)
获取密码后用ssh登录到boring用户,查看user的flag。但是flag提示是被旋转过的。
![](https://i-blog.csdnimg.cn/blog_migrate/739c044703aacd5887639014acd3d601.png)
大概数了下是用凯撒密码加密的,直接解密获得正确flag
![](https://i-blog.csdnimg.cn/blog_migrate/64181b72041d26f4c7f30db07a2fa6d4.png)
最后一步,根据提示也是定时任务。查看定时任务发现有个.mysecretcronjob.sh文件在定时运行
![](https://i-blog.csdnimg.cn/blog_migrate/4a4d0b34d61b56d94edbd7d865cecf91.png)
查看里面的发现没有什么内容,就提示是root权限运行。尝试用echo写入内容成功。接着直接尝试写入一个bash反弹Shell过来
![](https://i-blog.csdnimg.cn/blog_migrate/45548aa13350ae0519a7ffe1eb226be1.png)
攻击机这边起个nc监听,成功的弹回了Shell
![](https://i-blog.csdnimg.cn/blog_migrate/6c0fc535fe0d7eb4f5088c8d1f1a1c6b.png)
查看root的flag结束这个靶场
![](https://i-blog.csdnimg.cn/blog_migrate/ebcd5873b067d5adf41d5d73d98f307a.png)