TryHackMe - Mr Robot CTF - Writeup-优快云博客

Mr Robot CTF

你能对这台 Mr. Robot 风格的机器进行 root 吗？这是一个面向初学者/中级用户的虚拟机。机器上有 3 个隐藏的钥匙，你能找到它们吗？

首先使用 nmap 对于目标机器的端口进行扫描,查看开放情况

这里看到就只有 80 端口和 445 端口开放了,我这里选择先查看目标的 web 服务,在首页是一个很酷炫的 shell 效果,然后是一段黑客军团的播片,整体没有发现什么有用处的信息,这里使用 dirsearch 对于目录进行一下爆破,在爆破的时候,我打算查看一下 445 端口的 SMB 共享服务,会不会有文件夹提供一些信息

不过这里使用 smbmap 扫描和 smbclient 连接都没有结果输出,所以剩下的唯一突破口就在 web 服务中了

使用 dirsearch对于目标 IP 进行路径爆破,可以看到

这里选择先查看 robots.txt 文件,可以在这里找到了我们的第一个 key1

这里还有另一个文件 fsocity.dic,查看之后发现是一堆的字符串,所以很大概率是密码或者用户名,我使用 curl -O http://[ip_address]/fsocity.dic将这个文件下载到本地

dirsearch 爆破出来的路径,我们可以一一进行查看,其中最有价值的就是这个登录页面,我先尝试使用了搜索到的默认密码和账户 root和 123456进行尝试,它这里提示我用户不正确,而不是密码或者用户,所以我们可以尝试爆破用户名之后再爆破密码

使用 hydra,参数大 L 指定用户名列表,小 p 指定密码,这里使用 Invalid username 作为错误的判断,-f找到符合的就停止,最后很容易就找到了用户名是 Elliot,然后就可以使用小 l 指定用户名,大 P 指定密码列表,不过到最后还是没有跑出来结果,这里我选择找到之前目录爆破出现的文件进行查看的时候,在 license 文件中找到了线索

这里使用检查可以看到存在一个 base64 加密的字符串,在解密之后发现就是 elliot 和它对应的密码,使用密码登录了 CMS

在这里我们可以在这里对于 404.php 模板进行设置,改为我们自己的 php 的 shell 文件( 这里使用的 php 的反弹 shell 文件在/usr/share/webshells/php/php-reverse-shell.php),然后应用之后,先在本地使用 nc -lnvp [port]打开指定端口进行接受 shell,然后访问 http://[ip_address]/wp-includes/themes/TwentyFifteen/404.php就可以拿到 shell,只是权限很低

拿到 shell 之后,在 home 目录下找到 robot,然后里面存在两个文件,查看权限,发现只有 robot 有读取 key2 的权限,但是另一个文件就提示我们这是密码,只不过是 md5 加密了的,我们复制一下,拿到本机使用 john 进行破解

这里拿到密码之后,回到 shell 中使用 su robot然后输入密码就可以拿到 robot 的权限了,从而拿到 key2

最后的权限提升,我选择先使用 linpeas.sh(这个在 GitHub 中有,一个很好用的权限提升的辅助工具,地址),在本地使用 python -m http.server 8989使用 8989 端口打开一个简单的文件服务器,然后在 shell 也就是目标机器中使用 curl -o下载到 temp 目录,然后 chmod +x linpeas.sh赋予执行权限

然后运行,这里找到 suid 权限的文件,发现 nmap 有 suid 权限,可以用于权限提升