Vulnhub靶机：hackableII

一、介绍

运行环境：Virtualbox

攻击机：kali（10.0.2.15）

靶机：hackableII（10.0.2.52）

目标：获取靶机root权限和flag

靶机下载地址：https://www.vulnhub.com/entry/hackable-ii,711/

二、信息收集

使用nmap主机发现靶机ip：10.0.2.52

使用nmap端口扫描发现，靶机开放端口：21、22、80

21端口：通过nmap扫描结果发现ftp存在匿名登录，登录ftp，下载里面的文件，未发现有用的信息

80端口：打开网站发现是apache2的默认页面，查看源码发现提示，对该网站进行目录爆破

使用gobuster工具对网站进行目录爆破，发现一个/files目录

gobuster dir -u http://10.0.2.52 -x txt,php,html,bak --wordlist /usr/share/wordlists/dirbuster/directory-list-2.3-medium.txt

浏览器访问该目录，发现该目录里的文件和ftp里面的文件一样，怀疑ftp的文件夹就是该文件夹

三、漏洞利用

使用ftp上传webshell到文件夹，并使用浏览器刷新/files目录，发现存在webshell文件

使用nc监听端口，点击webshell执行，反弹shell

获取交互式shell

python3 -c 'import pty; pty.spawn("/bin/bash")'

四、提权

查看是否存在特权命令，发现需要输入密码，我们没有www-data的密码

查看是否存在具有root权限的可利用的可执行文件，发现没有

查看/home文件夹看一下存在哪些用户，是否可以进一步利用

发现important.txt文件，查看该文件，发现提示我们执行/.runme.sh脚本

执行/.runme.sh脚本，获得shrek用户的md5加密的密码：shrek:cf4c2232354952690368f1b3dfdfb24d

使用在线网站解密得到shrek用户的密码：onion

使用su命令切换为shrek用户，使用sudo -l命令查看特权命令，发现可以无密码以root权限执行/usr/bin/python3.5命令

使用该命令进行提权

sudo /usr/bin/python3.5 -c 'import os; os.execl("/bin/sh", "sh", "-p")'

获取flag