小H靶场笔记:Empire-Breakout

发布时间:2024年01月11日

Empire:Breakout

January 11, 2024 11:54 AM
Tags:brainfuck编码;tar解压变更目录权限;Webmin;Usermin
Owner:只惠摸鱼

信息收集

  • 使用arp-scan和namp扫描C段存活主机,探测靶机ip:192.168.199.140,且发现开放了80、139、445、10000、20000端口

    在这里插入图片描述

  • 扫描一下开放端口80、445、10000、20000的服务、版本、操作系统和基础漏洞。

    在这里插入图片描述

    在这里插入图片描述

    在这里插入图片描述

    在这里插入图片描述

    在这里插入图片描述

  • 信息量比较大,慢慢看,先看看80端口有什么吧,没有发现什么东西。只有一些配置信息。

    在这里插入图片描述

  • 再看一下10000端口,发现有一个Webmin(管理端),测试弱口令、默认密码和万能密码不成功,准备抓包看的时候,发现已经被限制访问了

    在这里插入图片描述

    在这里插入图片描述

  • 尝试扫出的10000端口的这个漏洞时,发现有过滤,无法读取

    在这里插入图片描述

    在这里插入图片描述

  • 看看40000端口,是一个Usermin(用户端)

    在这里插入图片描述

  • 再看看445端口,想起了一个445常用的漏洞:永恒之蓝,在msfconsole扫一下存不存在永恒之蓝漏洞

    • search ms17-010

    • use auxiliary/scanner/smb/smb_ms17_010

    • set RHOSTS 192.168.199.140

    • run之后,发现没有此漏洞。

      在这里插入图片描述

  • 扫了一下目录,也没什么东西。

    在这里插入图片描述

  • 是不是之前看页面的时候遗漏了什么,再去看看80端口,找找突破口。果不其然,查看了一下80端口的源码,有给提示信息,不过是加密的。

    在这里插入图片描述

漏洞利用

  • 网上搜一下这是什么加密。发现是brainfuck加密。找个在线解密网站https://www.splitbrain.org/services/ook直接进行解密。解出来一串字符串,应该 是个密码吧。但是我们没有用户。root admin登陆不了。

    • .2uqPEfj3D<P’a-3

    在这里插入图片描述

  • 使用枚举windows和Linux系统上的SMB服务的工具:enum4linux ,从与SMB服务有关的目标中快速提取信息。

    • sudo enum4linux 192.168.199.140

    • 用户名

      在这里插入图片描述

    • 两个域

      在这里插入图片描述

    • 用户

      在这里插入图片描述

    • 尝试一下登录,(这里每尝试四个,第五个就会被限制一会,需要等待一会才能继续试)最后用户cyber成功进入Usermin内。

      在这里插入图片描述

      在这里插入图片描述

  • 翻找页面的内容,发现可以直接打开一个终端。

    在这里插入图片描述

  • 查看文件,一个用户权限flag。(test.png是我上传的一个图片马,但是没找到路径访问)

    在这里插入图片描述

  • 直接nc反弹shell到kali,进行下一步操作。

    • kali监听,用户终端反弹shell

      在这里插入图片描述

      在这里插入图片描述

提权

  • 转换为交互性shell

    在这里插入图片描述

  • 查找SUID文件和sudo(无需密码)的文件,没有什么发现

    在这里插入图片描述

  • 用户目录下也只有一个用户

    在这里插入图片描述

  • 看一下有没有隐藏文件可以用吧,因为是http server翻到了var中有一个backups很可疑,看了一下所有文件,发现一个密码。但是无权限查看

    • ls -al

      在这里插入图片描述

  • 其他的话之前我们在用户目录下发现只有一个tar可用,肯定不是无故放在这里的。

    • 搜了一下,发现tar解压可使目录权限发生变更,变更为当前操作用户的权限

    • 直接压缩文件

    • ./tar -cf backup.tar /var/backups/.old_pass.bak

      在这里插入图片描述

  • 解压文件

    • ./tar -xf backup.tar

      在这里插入图片描述

  • 进入文件夹查看

    在这里插入图片描述

    在这里插入图片描述

  • 直接登录root用户

    • su root
    • 登录成功,拿到flag

    在这里插入图片描述

Brainfuck编码

  • BrainFuck 语言只有八种符号,由 > < + - . , [ ] 的组合来完成。
  • 在线加解密网站
    • https://www.splitbrain.org/services/ook
    • https://www.nayuki.io/page/brainfuck-interpreter-javascript

enum4linux

  • 使用枚举windows和Linux系统上的SMB服务的工具:enum4linux ,从与SMB服务有关的目标中快速提取信息。
    • sudo enum4linux 192.168.199.140
    • sudo enum4linux -a -o 192.168.199.140
文章来源:https://blog.csdn.net/Hack_hui/article/details/135535577
本文来自互联网用户投稿,该文观点仅代表作者本人,不代表本站立场。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。