关于某ssl皮卡丘的ssh密码探寻过程

0x00 前言

想研究一下ssl皮卡丘，看看能不能找到点什么。找了个环境，登陆后台后发现可以打开ssh

于是想试试看

0x01 尝试登陆

打开ssh登陆

可以看到端口已经打开了，那么账号密码是什么呢？试一试网站管理员的账号密码

尝试了不行，后来也尝试了那些弱口令字典上的xxssl皮卡丘的各种口令都不行。百度一下

可以看到这里说的是web密码+特定字符才是ssh的密码。而且这个ssh密码通常不会告诉甲方，因为他是给皮卡丘厂家自己后期维护用的。

那么这个特定字符我们要怎么获取？我一开始的尝试是直接手动输入，试了各种简单的组合，比如sangfor@2019这些当作后缀都不行。那只能另辟蹊径了。

0x02 离线爆破

ssh直接远程爆破也可以，不过速度慢不是弱口令后缀基本可以放弃。那么我们只能从源码角度下手了。我通过我一个好哥们搞到了该皮卡丘的镜像，那么把镜像起起来，然后把皮卡丘的整个文件系统给复制出来。

这里直接用vmware打开镜像进行安装

只要保证镜像启动后正常没问题就行。如果要本地调试可以一直开着，但我们现在是要脱文件系统，所以启动完成后直接给关了。 

这里另外在开一个vm的ubuntu虚拟机用来挂载皮卡丘的磁盘。我们都知道，修电脑的时候可以通过一个Linux系统来挂载另一个操作系统的磁盘来读取该操作系统里的文件。这里的逻辑也是一样，只不过都是通过vm来操作，那么vm虚拟机如何挂载另一个vm虚拟机的磁盘呢？

百度一下，将vmdk作为硬盘挂载到另一个linux系统的虚拟机上(https://blog.csdn.net/qq_36822217/article/details/107675101) 

直接看这个文章就完事了 挂载后，我们通过mount把每一个该磁盘分区都挂载到ubuntu上就可以直接访问了。

可以看到皮卡丘系统文件都已经可以访问了

可以通过find命令简单搜一下，包含关键词的文件。我搜了一些关键词也找到一些硬编码的词缀 然后我们把shadow文件里的内容直接复制出来用john进行爆破：

可以看到root和admin两个账号，root我看了是不能登陆的，那么账号就剩一个admin。考虑到初始状态下皮卡丘的web账号密码是admin admin，因此我们不改密码的话web密码就是admin，那么ssh密码就是admin+后缀。虽然web管理员账户名字是可以改的，但一般来说那只是web层面改名，系统层面账户通常不变所以账户应该还是admin。搞清楚这些后我们开始尝试爆破 这里通过crunch生成字典再用john爆破

crunch 5 5 -t ^%%%% -o wordlist2.txt
cat wordlist2.txt | sed -e 's/^/admin/' > output.txt
john --wordlist=output.txt shadow 

试了很多次，包括固定admin+sangfor+随机字符，也没有爆破出来 看来爆破这条走不通

0x03 源码

我之前用find在文件系统里搜了半天，可以看到搜到的都是sh或者是html之类的，但是php没有搜到，看一下php文件

可以看到php是被ioncube加密了，那么bash文件都搜遍了也没有，主要字符串肯定就在php里了。没办法只能去解密。看看有多少php文件

260个需要解密，看看多少钱解密一个，随便搜了个网站 https://www.unzend.com/

一个文件7刀？？？？？真便宜啊，后来我通过一系列的操作（付费）解决了解密的问题。重新搜一下php代码

好了搜到了，后缀果然在php代码里 把这个后缀放到john里再验证一下

确实，没有毛病。

0x04 总结

花钱解决问题，不要浪费时间在爆破上

哦对了，打个招聘广告：杭州萧山微医集团收应用安全SDL相关简历，私聊我

本文始发于微信公众号（赛博回忆录）：关于某ssl皮卡丘的ssh密码探寻过程