Vulnhub靶场渗透练习(一) Breach1.0
打开靶场 固定ip需要更改虚拟机为仅主机模式 192.168.110.140
打开网页http://192.168.110.140/index.html
查看源代码发现可以加密字符串
猜测base64 解密 cGdpYmJvbnM6ZGFtbml0ZmVlbCRnb29kdG9iZWFnYW5nJHRh 得到这个结果可能是二次加密在base64解密
得到 pgibbons:damnitfeel$goodtobeagang$ta 去除: 得到两个字符串pgibbons,damnitfeel$goodtobeagang$ta
点击图片每个路径都看看发现
可以登录 把刚刚拿到的两个密码进行尝试登录
登录成功 发现有3个邮件
192.168.110.140/.keystore 这个地址 为 ssl 加密证书的密钥库 继续搜索有用文件
发现 有信息泄露 通过邮件信息猜测 tomcat
发现 pcap 文件 为 wireshark 流量包 可以下载来分析
都是加密过的 可以利用前面的ssl 解密 利用java 的 keytool 获取证书 输入
D:\jdk\bin>keytool.exe -list -keystore
输入密钥库口令:tomcat
密钥库类型: jks
密钥库提供方: SUN
您的密钥库包含 1 个条目
tomcat, 2016-5-21, PrivateKeyEntry,
证书指纹 (SHA1): D5:D2:49:C3:69:93:CC:E5:39:A9:DE:5C:91:DC:F1:26:A6:40:46:53
Warning:
JKS 密钥库使用专用格式。建议使用 "keytool -importkeystore -srckeystore D:\jdk\keystore -destkeystore D:\jdk\keystore -deststoretype pkcs12" 迁移到行业标准格式 PKCS12。
解密出来 结果
接着导出 p12 证书
输入
keytool -importkeystore -srckeystore D:\jdk\keystore -destkeystore D:\tomcatkeystore.p12 -deststoretype PKCS12
-srcalias tomcat
证书有了 我们就可以查看了 打开Wireshark 编辑--首选项--Protocols--SSL,点击右边的Edit:
![](https://img2018.cnblogs.com/blog/1222663/201907/1222663-20190706102916942-2056925550.png)
![](https://img2018.cnblogs.com/blog/1222663/201907/1222663-20190706103232332-861094430.png)
![](https://img2018.cnblogs.com/blog/1222663/201907/1222663-20190706192043190-599058490.png)
这里上传马以后每隔3分钟会自动删除 所以我们直接利用他反弹一个shell 这里可以用linux 自带的也可以 用msf 生成
![](https://img2018.cnblogs.com/blog/1222663/201907/1222663-20190706192613569-889838354.png)
本机 输入 nc.exe -lvp 4444
进入项目后直接可以查看项目寻找到 两个特殊文件
看到mysql 的用户密码
输入
![](https://img2018.cnblogs.com/blog/1222663/201907/1222663-20190706194239068-1626197384.png)
发现 milton 用户 去 etc/passwd
发现对应用户 猜测就是这个用户密码
![](https://img2018.cnblogs.com/blog/1222663/201907/1222663-20190706195200427-494978149.png)
接着查询这个用户能否sudo 执行
sudo -l
没发现可利用的 再从新找线索
uname -a
![](https://img2018.cnblogs.com/blog/1222663/201907/1222663-20190706200349087-1867913088.png)
![](https://img2018.cnblogs.com/blog/1222663/201907/1222663-20190706200855959-1263492757.png)
tEXtComment 和coffeestains
利用这两个尝试登录
登录成功
blumbergh@Breach:~$ sudo -l sudo -l Matching Defaults entries for blumbergh on Breach: env_reset, mail_badpass, secure_path=/usr/local/sbin\:/usr/local/bin\:/usr/sbin\:/usr/bin\:/sbin\:/bin User blumbergh may run the following commands on Breach: (root) NOPASSWD: /usr/bin/tee /usr/share/cleanup/tidyup.sh
能够以root 权限执行
/usr/bin/tee /usr/share/cleanup/tidyup.sh
在去查看历史命令
cd / blumbergh@Breach:/$ cd usr cd usr blumbergh@Breach:/usr$ cd share cd share blumbergh@Breach:/usr/share$ cd cleasnup cd cleasnup -su: cd: cleasnup: No such file or directory blumbergh@Breach:/usr/share$ cd cleanup cd cleanup
cat tidyup.sh
#!/bin/bash #Hacker Evasion Script #Initech Cyber Consulting, LLC #Peter Gibbons and Michael Bolton - 2016 #This script is set to run every 3 minutes as an additional defense measure against hackers. cd /var/lib/tomcat6/webapps && find swingline -mindepth 1 -maxdepth 10 | xargs rm -rf
3分钟删除一次刚刚上马的路径
cat 查看
等待nc 反弹
![](https://img2018.cnblogs.com/blog/1222663/201907/1222663-20190706204815293-1247144208.png)
成功 记得 python -c 'import pty;pty.spawn("/bin/bash")' 显示终端