vulnhub-d0not5top靶机渗透流程
本次靶机渗透流程参考已有wp：https://www.hackingarticles.in/hack-d0not5top-vm-ctf-challenge/靶机概述
靶机地点：https://www.vulnhub.com/entry/d0not5top-12,191/
https://i-blog.csdnimg.cn/direct/24657ecd4e984874b1e24a07b85b947f.png
一共七个flag
一、前期扫描
确认靶机ip与开启服务、端口
https://i-blog.csdnimg.cn/direct/004810538bf545c7b81e049ba1f8f3a3.png
https://i-blog.csdnimg.cn/direct/1f893b5eed1b4cdea3fccc7a267813c4.png
二、网站扫描
开启了80端口，先扫下网站目次
https://i-blog.csdnimg.cn/direct/95dd5f60e6914b9491d1a66e917b3ab0.png
东西真不少，先看看robots.txt和dirs.txt
https://i-blog.csdnimg.cn/direct/6e7b7681a4ce41b392b44b10983d6a47.png
https://i-blog.csdnimg.cn/direct/56f8c8df20804409a09606b5f4b506f4.png
在这俩文件中发现了更多路径，看robots.txt的提示似乎要修改USER-AGENT
访问后发现只有control下有东西，貌似是个dashboard
https://i-blog.csdnimg.cn/direct/4fc6a1a921ef4d9cb3c60691bcdd8a07.png
在该页面源码中发现第一个flag：FL46_1:urh8fu3i039rfoy254sx2xtrs5wc6767w，以及一段可疑的信息
https://i-blog.csdnimg.cn/direct/e164fccd05f041eca95ffcdf3de57214.png
https://i-blog.csdnimg.cn/direct/26d17e70368a4f188b0e50195c08958f.png
信息中提到了D0Not5topMe.ctf，看上去就像个域名，团结页面的dns和扫描到53端口，大概率须要绑定域名
不过在那之前，这里还有个藏得很深的flag2，根据源码的跳转链接可以知道该路径下还存在js、css等子路径
访问/control/js，可以发现一个信息中提到的字眼MadBro的文件
https://i-blog.csdnimg.cn/direct/e1df291edad24953936d6b3abf93c19f.png
点进去会看到加密后的flag
https://i-blog.csdnimg.cn/direct/4c777b638eb945f9b5eff6a5f3be4f98.png
这个flag的数字部门经过了二进制编码，解密后得到第二个flag：FL46_2:39331r42q2svdfsxk9i13ry4f2srtr98h2，这里解密须要注意换行后按新的部门进行单独解码
README.MadBro页面中再次夸大了D0Not5topMe.ctf，很显着，我们下一步要进行域名绑定，但我们这里先按照flag的次序进行，而flag3与之前扫描到的25端口的smtp服务有关
三、smtp信息泄露
nc去连接25端口，返回了一串16进制加密的数据
https://i-blog.csdnimg.cn/direct/3f4336799adc44aea2f12d231cd1ff2a.png
xdd解密后得到第三个flag：FL46_3:29dryf67uheht2r1dd4qppuey474svxya
https://i-blog.csdnimg.cn/direct/f75f692e41f643adb095517c034da173.png
四、D0Not5topMe.ctf域名信息搜集
先进行域名绑定，再访问D0Not5topMe.ctf域名
https://i-blog.csdnimg.cn/direct/d01b12f338c3458c96d4c475607e03e7.png
这里不知道为啥我的真实机死活访问不上这个域名，换了几个欣赏器都不行。我试了下kali的才成功访问到
https://i-blog.csdnimg.cn/direct/f1e054ecdda44a48956609f483820cb0.png
https://i-blog.csdnimg.cn/direct/8768bfc21dba45b2969d6fe0b3446acb.png
通过页面底部信息可以知道是phpBB站，尝试了大量已知漏洞进行验证均不成功。没办法，只能慢慢从源码中找信息
在点击了注册跳转到注册须知页面后，我在源码发现了一个可疑的路径FLaR6yF1nD3rZ_html
https://i-blog.csdnimg.cn/direct/d24a23563bd448e2a5322f9ab9b0771e.png
https://i-blog.csdnimg.cn/direct/b7f680d8439746bda7c830589d9b58ce.png
访问该路径就能看到认识的brainfuck加密
https://i-blog.csdnimg.cn/direct/eb611be20fdf43d78990947dd0ed51ee.png
解密后得到第四个flag：FL46_4:n02bv1rx5se4560984eedchjs72hsusu9
https://i-blog.csdnimg.cn/direct/70b6e48aebf74892a4e35e63cd3ef1eb.png
回到注册页面，点击继承协议跳转到信息填写页面，在下方一个高亮的超链接可以看到一个邮箱地点mailto:Megusta@G4M35.ctfhttps://i-blog.csdnimg.cn/direct/976902a94327495cb1b19dafa4cff6f3.png
此中邮箱地点的后半部门G4M35.ctf与域名很相似，推测是新的须要发掘的域名
至此D0Not5topMe.ctf域名探索完毕，这个部门大概看上去很难找到线索，但后续查看相关wp发现其实是有给出提示的，只不过英语水平太差没办法解读
可以看到主页这里有一条信息，摘抄如下：
Worka Suko Gameo Di Besto
emay ayingplay uchmay amesgay ownay egistrarioray arnay edsay emay emailway ayay egustomay otay indfay away eomay ideyhohay
https://i-blog.csdnimg.cn/direct/b85fcf924bbb431db447b263f7ef7ee5.png
这其实是一种Pig Latin，即英语中的儿童黑话，根据wp中给出的翻译，其英文原意为me playing much games now registrario rna sed me wemail a megusto to find wa meo hideyho
此中提到的registrario（注册）与wemail（邮件）正是这个域名下的flag所在和通往下一个域名的线索
五、G4M35.ctf域名信息搜集
先按照惯例把域名进行绑定
https://i-blog.csdnimg.cn/direct/c0fcb927b4b54fe08c7bce013c875efc.png
然后看看这个域名网站长什么样，是个3D的躲避障碍类游戏
https://i-blog.csdnimg.cn/direct/42e494fab3694cff9cd79241f992a1df.png
虚拟机里玩卡得要死，照旧专心找找线索吧，网页源码中发现应该是游戏主程序的game.js路径
https://i-blog.csdnimg.cn/direct/8192ff91a4eb48b8811b75773d0aa707.png
在game.js中发现可疑路径/H3x6L64m3
https://i-blog.csdnimg.cn/direct/e9c973b03eae4c2687b41afec951ad64.png
访问，又是个游戏，这次是看上去应该是个类雷电的弹幕游戏？
https://i-blog.csdnimg.cn/direct/30343a5882ef46d39633a2118bbeb8fe.png
这里我重新看了下真实机的hosts文件，准备加G4M35.ctf域名试试能不能正常访问，结果发现原来上个域名绑定后访问不到是因为把192.168.7.164输成了192168.7.164，给我自己都逗笑了
https://i-blog.csdnimg.cn/direct/83fcc5f8a59a4cd7a3ac46eb2f9e49fe.png
改好后访问http://g4m35.ctf/H3x6L64m3/，发现没法正常开始游戏，照旧得看源码
https://i-blog.csdnimg.cn/direct/eb6a0fec41704d3481772cd46bd89cc6.png
源码中发现了两个重要线索，一个提示我们追踪texture，另一个则是游戏主文件Gameplay.js的路径
https://i-blog.csdnimg.cn/direct/4ca230825bc64f32a17010165fb47493.png
https://i-blog.csdnimg.cn/direct/2a26f6e2d2e744a996c2727ac1aa42b8.png
猜想texture是路径，试试访问
https://i-blog.csdnimg.cn/direct/51b46c384d78493190f717edca42b454.png
没有？加个s呢
https://i-blog.csdnimg.cn/direct/904c5a3d72a94ef7bfacf44236d0ec11.png
这里面一堆图片，感觉这游戏应该是能玩的，大概没加载出来
在某个素材图片中发现一段八进制加密信息:106 114 64 66 137 65 72 60 71 153 70 67 150 66 147 64 145 62 65 147 150 64 64 167 141 61 162 171 142 171 146 151 70 71 70 150 156 143 144 164
https://i-blog.csdnimg.cn/direct/cdb6b2982b734971a12cb826dc4b85bc.png
cyberchef解密后得到第五个flag：FL46_5:09k87h6g4e25gh44wa1rybyfi898hncdt
https://i-blog.csdnimg.cn/direct/cfcc94770c494ee09d2e1773fcae967f.png
接着来看看游戏主文件，我已经发现了域名的规则都是.ctf结尾，果不其然发现第三个域名t3rm1n4l.ctf
https://i-blog.csdnimg.cn/direct/3969207a62e24ae997d6cec1eb9cf59c.png
六、t3rmln4l.ctf域名信息搜集
绑定域名后访问，是个网页的终端界面
https://i-blog.csdnimg.cn/direct/53ebf4c4bee24b4f8d2c40486ae0a6d6.png
https://i-blog.csdnimg.cn/direct/22a52b77de5443f88cbb463ad8ff4264.png
提示须要暗码进行认证，尝试了下发现域名t3rmln4l.ctf便是认证暗码
https://i-blog.csdnimg.cn/direct/46ecfa5001184824895ab1be7f1342ff.png
认证通过后发现很多命令不可用，且实验一次非法命令后须要重新认证
https://i-blog.csdnimg.cn/direct/83164392b81f40dfa9460377669e473e.png
一个个测试太麻烦。用burp抓包后对command进行模糊测试
https://i-blog.csdnimg.cn/direct/677ce53de52e437bbfeb138be5d4d14e.png
根据结果可以看到uname、id、pwd和grep命令可使用
https://i-blog.csdnimg.cn/direct/07908223a6ac45a7b0f556b41622e0d1.png
https://i-blog.csdnimg.cn/direct/cfdcf1ba2f2047ac8740bf829362a9a3.png
那试试grep能看到什么，输入grep *，发现新域名M36u574.ctf
https://i-blog.csdnimg.cn/direct/916e2e18acd440cda35c66159ec2ab6e.png
七、M36u574.ctf域名信息搜集
这是我绑的域名最多的一个靶机了
https://i-blog.csdnimg.cn/direct/f4f3cf9fb8494016bc7b16925e65ef71.png
进去之后是一堆精污鬼图的循环播放
https://i-blog.csdnimg.cn/direct/4f07566c443c49a2a8880f74cdb41abe.png
选取页面元素可以看到鬼图的存放路径在images下
https://i-blog.csdnimg.cn/direct/fb6e4ace25fb40859e8415ca112101de.png
不过我们没办法直接访问到images文件夹一览图片
https://i-blog.csdnimg.cn/direct/2ba1390fb4104541a99052777f7e2148.png
返回首页一张张看元素，发现个名字不太一样的，其他的图片名格式都是megusta00x.jpg，这张却叫kingmegusta.jpg
https://i-blog.csdnimg.cn/direct/03508d4781284442840c031101f9c737.png
直接去images下找到并下下来
https://i-blog.csdnimg.cn/direct/71a7936a768a48298231190a8cb48e44.png
file命令看下这个图片的信息，发现一串base64密文
https://i-blog.csdnimg.cn/direct/d23aab4e603a430a8992a741c6a97b98.png
解密后得到一个雷同/etc/shadow的linux用户暗码的加密组
https://i-blog.csdnimg.cn/direct/1fba9be99d4248f09b57aeafcefa14ed.png
用john破解得到MeGustaKing:**********的组合，此处指定rockyou字典会快很多
https://i-blog.csdnimg.cn/direct/909c7cb24d7a4b1a9b442374da664d18.png
八、MeGustaKing用户信息搜集
ssh登入MeGustaKing用户
https://i-blog.csdnimg.cn/direct/32a7c4f12bd946aba749d4b2f0cab429.png
登进去无法实验任何命令就把我踢出来了，不过给了些信息，此中有段base64密文，破解一次后去掉前后的乱码部门再进行一次base64解密得到第六个flag：FL46_6:pqpd2jfn4ruq1obyv3thw848te67tejey
https://i-blog.csdnimg.cn/direct/9b1f5e6d538646afbb165fdfa6f0749b.png
https://i-blog.csdnimg.cn/direct/c527cc276597454484f49103ad6e6c09.png
再回过去看之前给的信息，发现提供了另一个用户名burtieohttps://i-blog.csdnimg.cn/direct/a969138319bb46228eada6697b116afa.png
用hydra对burtieo用户进行爆破
得到暗码Lets you update your FunNotes and more!，幽默的是其实这个暗码在登录信息里也有，但我着实不觉得有多少人能一下子想到这么长一段话是暗码
https://i-blog.csdnimg.cn/direct/98af045e94c24162a62ac2cd4a403286.png
九、rbash逃逸
登录burtieo用户，输入命令发现是在rbash环境
https://i-blog.csdnimg.cn/direct/4150c333f62648e39959cbc0c859e7b7.png
rbash环境会限制我们使用的命令，有很多种逃逸方法，这里我是利用bash_cmds自界说shell导出到环境变量来完成逃逸的
BASH_CMDS=/bin/sh;a
export PATH=$PATH:/bin/
export PATH=$PATH:/usr/bin
https://i-blog.csdnimg.cn/direct/2030fbe21aad4b1fbfa80c27802b86bb.png
十、sudo命令导致的高危端口漏洞利用
sudo -l看看，发现NOPASSWD命令/usr/bin/wmstrt
https://i-blog.csdnimg.cn/direct/469dc304b79d41bf93087523e8eebbfc.png
因为没有strings命令看不出调用了什么其他命令或者库，直接sudo运行下试试
https://i-blog.csdnimg.cn/direct/d30a6ff9f14544edb38d28b39a8f5008.png
https://i-blog.csdnimg.cn/direct/592440e9e54f467897100406cf655d48.png
https://i-blog.csdnimg.cn/direct/a179f81286794ae791e9042927b1088b.png
该命令实验后会显示将会有20秒的时间，接着开始倒数，归零后显示一段话，大意为你抓住时机了吗
这里我思考了好一会儿，20s的时间限制会是什么，答案是端口/服务的开启时间，这个命令很大概是开启某个端口20秒钟，因此后台准备好nmap后sudo实验命令，在显示提示信息后立刻开始扫描
https://i-blog.csdnimg.cn/direct/c4d0a1cb6ddf483a9f206a3066ec3c79.png
果然多出了一个端口，10000，这个端口一般是webmin服务，msf中有相关的漏洞利用
这里用长途文件读取的利用脚本，设定好参数后再次sudo实验命令，在出现提示信息后立刻实验脚本
https://i-blog.csdnimg.cn/direct/010ecc30416841569985d052e33991c4.png
https://i-blog.csdnimg.cn/direct/0e216b027d0649eabc5945bc7ef62748.png
失败了，查看报错应该是要开启ssl参数，重新设置后再来一遍
https://i-blog.csdnimg.cn/direct/9d9d1b70c60e4871a5a8a7c0b1656df8.png
成功读取到/etc/passwd，那接下来试试能不能读到/etc/shadow和/root/.ssh/id_rsa
https://i-blog.csdnimg.cn/direct/752022ef626e4ada9048d70cb1c76383.png
https://i-blog.csdnimg.cn/direct/86eda6e2a3564338ae87c9a50d41449e.png
两次尝试都成功了！那这里我们可以选择john破解root暗码或者john破解id_rsa暗码，我这里选择了更快的破解id_rsa文件
https://i-blog.csdnimg.cn/direct/dfafdd5c4e704234a6e22b1428227fd8.png
https://i-blog.csdnimg.cn/direct/1dc75a7592354e68b2f488bef3085108.png
十一、root可实验文件的信息泄露利用
使用id_rsa和认证码gustateamo登录，这里一开始没成功，新建config文件后添加继承以 ssh-rsa 格式签名的公钥进行身份验证的配置后成功登录
https://i-blog.csdnimg.cn/direct/4833a6fdee224d4aad6f13fb00c854d1.png
https://i-blog.csdnimg.cn/direct/b3100652ff574a73a00732fc29334a12.png
发现FL461N51D3文件，但是二进制可实验文件，且没有strings命令可以查看
https://i-blog.csdnimg.cn/direct/7e6d859d7c1b4623950ae8348381b7ae.png
直接运行FL461N51D3文件提示错误密钥，还有个000权限的perl文件L45T_fl46.pl可以查看下
https://i-blog.csdnimg.cn/direct/f939e7143d6b4d53b4f6bbc50d3e3b79.png
https://i-blog.csdnimg.cn/direct/2ba67d0005364e1f8870c9622785d43c.png
https://i-blog.csdnimg.cn/direct/35342da166a048059fcbb5f4d8c51bb8.png
看了下，大致是一个雷同反弹shell的连接命令，会将验证后FL461N51D3文件的输出显示到连接端
那nc监听端口后运行该命令指定ip与端口，即可得到最后的第七个flag：FL46_7:9tjt86evvcywuuf774hr88eui3nus8dlk
https://i-blog.csdnimg.cn/direct/628b764758b74662809ad46c2816d109.png
https://i-blog.csdnimg.cn/direct/1d67f1a052664ca0ae5167b7001db060.png
免责声明：如果侵犯了您的权益，请联系站长，我们会及时删除侵权内容，谢谢合作！更多信息从访问主页：qidao123.com:ToB企服之家，中国第一个企服评测及商务社交产业平台。
页:
[1]