Dr4g0nb4ll靶机

信息收集

使用arp-scan生成网络接口地址，查看ip

输入命令：

arp-scan  -l

nmap扫描端口开放

TCP

输入命令：

nmap --min-rate 10000 -p- 192.168.187.184    //以最低10000的发包速率扫描全部端口

可以看到目标只开放http的22和80端口

UDP

输入命令：

nmap -sU  --min-rate 10000 -p- 192.168.187.184

这边的udp扫描没有发现什么有用的信息

nmap扫描端口信息

输入命令：

nmap -sT  -sC  -sV  -O  -p 22,80 192.168.187.184

这边可以看到一些简单的端口基础信息，可以简单了解一下

nmap漏洞脚本扫描

输入命令：

nmap --script=vuln -p 22,80 192.168.187.184

这里的漏洞脚本扫描枚举出了一个子目录的文件名称，等下可以去看看。

查看web端

访问ip的80端口，可以看到界面如下，是一个龙珠的浏览介绍页面。浏览一下页面上的内容，没有发现有什么特别的内容

查看页面源代码

在这里面看了看，上面也没有很特殊的提示，几个图片的链接也都是引用的其他网站的。

但是页面往下滚动半天没有到尽头，一直往下拉页面以后，发现最下面有隐藏的加密信息，看起来是一个加密的字符串，尝试破解一下

字符串：VWtaS1FsSXdPVTlKUlVwQ1ZFVjNQUT09

这里尝试了一些方法后，发现是用的base64加密的，不过存在套娃，还需要继续解密

输入命令：

echo 'VWtaS1FsSXdPVTlKUlVwQ1ZFVjNQUT09'|base64 -d

最终解密三次，才拿到了一个信息字符串DRAGON BALL ，暂时还不清楚是做什么用的，先记下来

目录爆破

输入命令：

dirsearch -u 192.168.187.184

这边发现了一个robots.txt，之前的nmap漏洞扫描也扫到了这个目标，等下去查看

输入命令：

gobuster dir  -w /usr/share/wordlists/dirbuster/directory-list-2.3-medium.txt -x html,txt,php,jpg,pdf  -u http://192.168.187.184

这边扫描到了robots.txt，还有一个新的图片，可以先记一下

查看目录

发现加密字符串

我们现在来查看相关的目录信息，最先访问的肯定是刚刚的robots.txt，可以看到一串字符串，看这个格式很可能是base64加密过的，需要破解一下

输入命令：

echo 'eW91IGZpbmQgdGhlIGhpZGRlbiBkaXI='|base64 -d

这里解密后显示我们找到了隐藏目录，之前我们通过解密发现了一个DRAGON BALL的解密字符，当时不清楚作用，看这样子有可能就是隐藏目录，我们等下访问试试

查看DRAGON BALL

这里成功发现了其他的文件信息

自动化目录分析

先查看secret.txt文件，里面有一些类似目录的样式，也许是要用来放到哪一个路径下才有信息，我们这里可以一个个尝试，但是很花费时间。也可以借助工具来简单实现一下

在本地上我们新建一个txt文件，然后把这些可能的目录信息放进去

这里可以使用替换的方法快速构造url访问地址

这里将有可能的目录组合方式全部加上后，我们可以使用curl来测试网页返回值

curl

输入命令：

while  read  url < 1.txt ;do curl "$url";done     

命令分析：

while read url < 1.txt //将文件中的每一行信息，读取并赋值给url参数
while read url < 1.txt ;do curl “$url”;done //每读取一行信息后，使用curl来访问url参数，即文件中每一行的地址信息

执行命令后可以看到回显，但是比较乱，需要优化一下命令

输入命令：

while  read  url ;do curl  "$url" -o /dev/null -s -w "%{url_effective} status:%{http_code}\n" ;done <1.txt
//-s  —静默模式，不会输出无关中间过程信息
//-w  “%{url_effective}” — 输出目标网址
//status:%{http_code}   状态码结果输出

但是可以看到除了主页面能访问到以外，其他的目录拼接后，都是无法访问的地址，这里暂时没有新的发现了（整了半天被套路到了）

查看登录页面

这里面出现了一个登录页面，打开可以查看一下

这里显示到了一个登录页面，标题有一个xmen，似乎是用户名，但并不确定可以尝试一下弱密码。

这里尝试一些弱密码后，没有成功进入，点击下方的download，显示界面也是无法访问，但是url中弹出了aj.jpg的字样，这好像是提示

查看图片

除了刚刚的目录部分，我们之前还看到了一个图片，打开看到是这个样子，按照刚刚的提示，或许图片中藏有一些信息也说不定，下载下来看看

下载图片

输入命令：

wget http://192.168.187.184/aj.jpg

可以看到已经将图片下载到了本地上

尝试图片破解

stegseek

输入命令：

stegseek aj.jpg /usr/share/wordlists/rockyou.txt 

这个工具可以用来破解图片隐写，用法：stegseek+图片名称+字典（如果没有这个工具可以先试用apt-install stegseek安装一下）

这里可以看到我们成功发现了密码，以及相关的隐写文件，好像还是ssh的私钥文件

破解后的文件已经存放在了当前的目录下

获取ssh私钥

我们打开查看一下，确实就是私钥的密码文件

这里我们将文件名称改一下，改为ssh_rsa，便于后面使用

ssh私钥链接

这里我们有了私钥，但是还没有用户名，尝试了一些root，admin的用户名，但是无法登陆，重新回顾一下之前所找到的一些信息，之前的登录页面有一个xmen的名称，拿来尝试一下，发现成功登录

拿到flag1

在当前登录的目录下，可以发现一个local.txt，打开后可以看到flag信息

提权

sudo提权

查看是否有以root身份执行的命令

输入命令：

sudo  -l   //用来查找当前用户是否存在可以以root身份执行的命令

但是这里需要密码，但是我们用的私钥登录，暂时放弃

suid提权

输入命令：

find  /  -perm   -4000  2>/dev/ull   //查找当前系统存在的拥有root属主权限的二进制文件

这里看到了一个可能存在的提权文件，我们去查看一下

这里面存在2个文件，demo.c文件里面显示存在系统命令ps。shell文件不能查看，会显示乱码，但是运行后会发现也会执行ps命令

环境变量劫持

这里可以尝试一下环境变量劫持，首先查看我们当前目录的所属组，发现这一级是root的所属组，上一级目录是我们的所属组

返回上一级，建立一个新文件，名称要和刚刚的系统命令一致，写进去一个/bin/bash

赋予文件可执行权限

这里要记得给文件赋予可执行权限

配置环境变量

返回到shell文件的目录，可以查看一下这个目录的环境变量

输入命令：

echo $PATH

然后把我们刚刚建立ps文件的绝对路径，添加到环境变量中，（要添加在最前面，环境变量的引用是从前往后开始的）

输入命令：

export PATH=/home/xmen:/usr/local/bin:/usr/bin:/bin:/usr/local/games:/usr/games:PATH

拿到root权限

此时配置好了，我们来执行一下shell文件，发现已经成功提权到root

拿到flag2

提权后在/root下可以找到第二个flag信息