Vulnhub靶机_EVILBOX: ONE

靶机信息

下载地址：http://www.vulnhub.com/entry/evilbox-one,736/
难易程度：简单

渗透过程

获取靶机IP

这个靶机启动后会显示IP地址：192.168.1.103

用主机扫描也可以扫到：

arp-scan -l

端口扫描

这里开放了两个端口：22，80。

nmap -A -T4 -p 1-65535 192.168.1.103

网站目录扫描

首先扫描一下特殊文件，这里扫描到一个robots.txt。

dirb http://192.168.1.103 -X .txt,.html,.php,.bak,.bac,.sql,.php.bac,.jpg,.png,.log

打开之后，我们看到一个"Hello H4x0r"，但好像就只是打个招呼，也没有什么用处，反正我后面是没有用到。

然后，我们扫描网站目录

dirb http://192.168.1.103 

这里有一个http://192.168.1.103/secret/网址，点进去之后查看网页源码，啥都没有。

em，所有网址点进去都没什么别的线索了，我对http://192.168.1.103/secret/网址中的特殊文件扫描了一下。（是我太菜了吗，有没有那种可以直接搜出来一个网址中所有子网址中特殊文件的工具或命令啊。。。。，一个一个搜好容易漏啊）

dirb http://192.168.1.103/secret -X .txt,.html,.php,.bak,.bac,.sql,.php.bac,.jpg,.png,.log

这里扫描到了一个evil.php脚本，用burpsuite抓包是长这样的，就是说它会用GET请求服务器发送某个资源。

获取账号

可以看到这里存在一个本地文件包含漏洞，

我们可以使用（ …/）或简单地（/）从目录中直接读取服务器文件的内容。
常见的敏感路径有：
https://www.cnblogs.com/lzlzzzzzz/p/13446719.html

这里我尝试了

http://example.com/index.php?page=/etc/passwd
http://example.com/index.php?language=/etc/passwd

都不可，也就是说我们不知道实际的命令是什么，于是我用burpsuite——intruder字典爆破一下。(burpsuite怎么抓包可以参考VulnHub靶机_MOMENTUM: 2)

1. 首先在如图的位置添加要爆破的字段。
   
2. 设置字典
   这里我设置的是/usr/share/wfuzz/wordlist/general/common.txt
   
   然后start attack，漫长等待后，command命令有回复，也就是说我们可以通过构造以下网址访问我们想要访问的文件。

http://192.168.1.103/secret/evil.php?command=文件路径

然后我们可以看到倒数第二行用户名是mowree。

ssh登录

现在我们知道一个用户名mowree，那么存在/home/mowree是这个账号的目录，我们可以直接把这个账号的ssh私钥拷贝下来，保存到文件id_rsa中。

然后，我们需要破解私钥的密码。

python /usr/share/john/ssh2john.py id_rsa>tmp
john tmp

这里我们看到密码是unicorn。
这里把id_rsa的权限改一下，然后ssh登录。

chmod 0600 ./id_rsa
ssh mowree@192.168.1.103 -i ./id_rsa

提权

这里我们查看/etc/passwd/的权限，发现是可写的。

我们可以通过在/etc/passwd中自己写一个用户来提权。参考https://blog.csdn.net/weixin_46700042/article/details/108813878
我这里添加一个用户名为yiru,密码为yiru的root账号。

然后登录

结束~