一、介绍
运行环境：Virtualbox
攻击机：kali（10.0.2.15）
靶机：FunBox 9（10.0.2.37）
目标：获取靶机root权限和flag
靶机下载地址：https://www.vulnhub.com/entry/funbox-gaokao,707/
二、信息收集
使用nmap主机发现靶机ip：10.0.2.37
使用nmap端口扫描发现靶机开放端口：21、22、80、3306
21端口：nmap扫描发现ftp存在匿名登录，使用ftp匿名登录，下载welcome.msg文件
ftp 10.0.2.37
ls
get welcome.msg
查看该文件，并没有发现有用的信息
对比ftp登录信息，可以怀疑sky为一个用户名
22端口：nmap扫描发现22端口为OpenSSH 7.6p1，可以使用命令searchsploit OpenSSH 7.6p1搜索OpenSSH的历史漏洞，发现用户枚举漏洞
但执行exp发现靶机没有该漏洞或者漏洞已经修复
80端口：打开网站发现是apache2默认页面，查看源码也没有发现隐藏信息
使用dirsearch、dirb工具进行目录爆破，没有发现什么目录信息
三、漏洞利用
可以尝试对sky用户名进行暴力破解
#mysql暴力破解
hydra -l sky -P /usr/share/wordlists/rockyou.txt 10.0.2.37 mysql -t 64
#ssh暴力破解
hydra -l sky -P /usr/share/wordlists/rockyou.txt 10.0.2.37 ssh -t 64
#ftp暴力破解
hydra -l sky -P /usr/share/wordlists/rockyou.txt 10.0.2.37 ftp -t 64
发现只有ftp爆破成功得到用户名密码：sky\thebest
使用sky账号登录ftp，查看当前目录下的文件，发现一个flag，将flag下载下来查看
发现user.flag是一个shell脚本文件
在user.flag文件里面写入反弹shell命令，再把它上传回去，根据经验这个可能是一个计划任务，不是也不亏，总要尝试一下
主机监听，等待获取shell成功
获取交互式shell
python3 -c 'import pty; pty.spawn("/bin/bash")'
我们可以查看计划任务crontab -l，user.flag确实设置了计划任务
四、提权
查看该用户是否具有特权命令sudo -l，发现需要输入密码，没有密码查看不了
查看该具有root权限的文件
find / -perm -u=s -type f 2>/dev/null
发现/bin/bash可以使用该文件进行提权，执行命令如下，获得root权限：
/bin/bash -p
获取flag
