Advent of Cyber 1 [2019] | [Day14] - [Day25] | TryHackMe

最新推荐文章于 2025-11-25 11:44:22 发布

原创最新推荐文章于 2025-11-25 11:44:22 发布 · 712 阅读

12 ·

CC 4.0 BY-SA版权

文章标签：

#python #开发语言 #安全 #网络安全 #笔记 #linux #汇编

TryHackMe_Writeup 专栏收录该内容

19 篇文章

订阅专栏

Advent of Cyber 1 [2019] | [Day14] - [Day25]

文章目录

Advent of Cyber 1 [2019] | [Day14] - [Day25]

[Day 14] Unknown Storage

直接访问这个网址,看 key 的值,可以找到这个文件

然后把这个文件作为路径添加到 url 的末尾,再次进行访问就可以看到内容

[Day 15] LFI

这就是本地文件包含的一个漏洞利用

进入网站,看到备忘录,里面写了第一道题目的答案,说明了假期旅游的地方

然后检查页面源代码,这里因为刷新的时候,标题什么的是直接显示,但是备忘录内容是等一会才会出现,可能是写的 js

这里看到 js 源码,是写了一个 get-file 的路由,来请求文件,所以我们可以去请求/etc/shadow 文件来查看信息,这里找到 charlie 的密码哈希,然后放到 john 中去破解,获得用户的密码

使用 ssh 连接,登录目标机器,就可以在用户目录下找到 flag1.txt 文件

[Day 16] File Confusion

第一个递归使用 zipfile 进行解压缩,然后创建目录,放入解压后的文件,python 脚本代码如下

import zipfile
import os

with zipfile.ZipFile('./123.zip', 'r') as zip_ref:
    zip_ref.extractall('./123_zipep')

def run_execute(directory):    
    listOfFiles = os.listdir(directory)
    for l in listOfFiles:
        #拼凑文件路径
        file_path = os.path.join(directory, l)
        #判断是否是压缩包
        if zipfile.is_zipfile(file_path):
            new_dir = os.path.splitext(file_path)[0]
            os.makedirs(new_dir, exist_ok=True)
            with zipfile.ZipFile(file_path, 'r') as zip_ref:
                zip_ref.extractall(new_dir)

            run_execute(new_dir)

def count_non_zip_file(directory):
    count = 0

    for root,dirs,files in os.walk(directory):
        for file in files:
            if not zipfile.is_zipfile(os.path.join(root, file)):
                count += 1

    return count

run_execute('./123_zipep')
coutn = count_non_zip_file('./123_zipep')
print(f"非压缩文件数量: {coutn}")

第二个难点就是下载 pyexiftool,然后 et.get_metadata 的结果是一个列表,不是一个字典,然后利用的脚本如下

import exiftool
import os

root_directory = "/home/kali/Desktop/123_zipep"
count = 0

def file_comment():
    global count;
    with exiftool.ExifToolHelper() as et:
        for dirpath,_,filenames in os.walk(root_directory):
            for filename in filenames:
                file_path = os.path.join(dirpath, filename)

                try:
                    metadata_list = et.get_metadata(file_path)
                    for metadata in metadata_list:
                    #开始判断
                        for key,value in metadata.items():
                            if "version" in key.lower() and str(value).strip() == "1.1":
                                print(f"Match foun:{file_path}")
                                count += 1
                                break
                except Exception as e:
                    print(f"Failed to read {file_path}: {e}")        
file_comment()
print(count)

最后一个直接使用 grep 命令,grep -r "password"直接就可以找到结果了

[Day 17] Hydra-ha-ha-haa

这里破解 molly 的用户密码,那么猜测用户名是 molly,然后先尝试使用 nmap 对于 ip 端口进行扫描,发现只有 80 端口和 22

这里到 80 端口之后,发现只有一个登录页面,目录爆破也没有啥有用的信息,直接选择使用 hydra 爆破密码

然后 ssh 也是一样的爆破操作,然后就可以拿到 flag 了

Day 18] ELF JS

先是注册然后看到留言板,以及管理员会到这个页面的提示,就说明在这里使用 xss 进行获取 cookie

这里使用的 xhr,前后使用

来把前后的标签进行补全

然后开启监听就可以拿到 cookie,然后替换 cookie,刷新页面就可以进入管理员页面了

[Day 19] Commands

RCE 漏洞的利用,在/api/cmd 的接口,测试发现好像没怎么做过滤,所以直接找一个 bash 反弹 shell 的命令

本地监听一下端口,就可以拿到 shell 了

[Day 20] Cronjob Privilege Escalation

首先使用 nmap 扫描端口,找到 ssh 开放的端口

发现端口是 4567.然后知道是 sam 的用户,那么就可以使用 hydra 进行爆破

然后指定端口,ssh 连接登录

这里尝试传入一个 linpeas.sh 来看看利用点,不过在 crontab 中好像啥都没有,然后 find 一下 flag2,发现是 ubuntu 用户目录中,然后在 home 目录下找到一个 shell 文件,发现是在清理 tmp 文件,之前那个 linpeas 的脚本我就是传入到 tmp 目录,再查看已经没有了,所以这个就有可能是一个定时运行的任务