VulnHub靶场 EvilBox - One

前言#

取得 root 权限 + 2 Flag

WP#

主机发现#

进行主机发现，发现目标 IP 为 192.168.10.83

对其进行端口扫描

发现其开放了 80 端口，访问目标 HTTP 服务。

是一个 Apache2 Debian Default Page。

GET 请求参数爆破#

对其进行目录扫描。

访问这两个目录，其中 secret 目录没有内容，robots.txt 结果如下

得到一个似乎是用户名的字符串 H4x0r。我们假设它是目标系统用户名，对其 22 端口进行 SSH 爆破，失败。

由于这个 secret 是一个二级目录，我们接着这个二级目录再扫一下

得到一个 evil.php，访问无果，尝试爆破参数。

失败了。不过这个文件加参数的形式，很容易让人联想到文件包含漏洞，试试

得到一个参数 command，我们尝试访问 http://192.168.10.83/secret/evil.php?command=/etc/passwd，结果如下

SSH 密文爆破#

这个位置可以进行文件包含，那这里思路就多了，读日志，读 ssh 密钥，读源码等等。我们先试试日志能不能拿到

失败。我们在读 /etc/passwd 的时候，发现目标主机存在一个 mowree 用户，尝试读一下它的 SSH 密钥

成功，我们尝试连接。

这个私钥需要密码文才能使用，我们使用 john 进行破解，主要要先用 ssh2john.py 将 SSH 密钥转换为 John 支持的格式

得到密文为 unicorn 重新连接

root 用户密码修改#

得到第一个 flag

接下来就是提权了。查看计划任务

没东西，查看 sudo -l

用不了，尝试 suid 提权

没有能用的，查看一下写权限

这里发现 /etc/passwd 竟然有写权限，我们直接生成一个密码，将 root 用户的密码修改掉

然后直接登录 root 用户