Vulnhub-靶机-Tr0ll: 3

本篇文章仅用于技术交流学习和研究的目的，严禁使用文章中的技术用于非法目的和破坏，否则造成一切后果与发表本文章的作者无关

靶机下载好加载到VMware里面去，我这里配置的网卡模式是仅主机模式，然后不知道是什么IP地址，我就使用Windows环境下的MAC地址扫描器扫描了一下发现了真是的IP地址，这里也是可以使用kali下netdiscover进行发现，当然也可以直接使用nmap进行全网段扫描，nmap -sn -v 192.168.5.*

地址：https://www.vulnhub.com/entry/tr0ll-3,340/

• 发现目标是192.168.5.132，开启使用nmap对其进行全端口扫描
• nmap -p- 192.168.5.132 
• 或者需要详细点的信息可以使用nmap  -sV -v -p- 192.168.5.132
• 发现结果是只开放了22端口，根据靶机开机提示可以知道一个登录目标的账号和密码分别是start:here
• 于是登录目标靶机
• ssh 192.168.5.132 -l start   输入密码here
• 具体如下：

 尝试查找属于该用户能执行的文件

find / -type f -perm 0777 2>/dev/null

 看到一个wytshadow.cap的文件，尝试有wireshark打开查看里面的数据包信息，发现是802.11协议，那么这跟无线关系很大，注意：我这里是将文件拷贝到Windows环境下使用最新版的wireshark打开，打开之前将其后缀cap格式改成pcap后缀格式文件打开，上述确认后便开始使用kali下的无线破解天空套件进行破解密码，具体如下：

 aircrack-ng -w gold_star.txt wytshadow.cap

获得的密码是：  gaUoCe34t1

那么就可以使用账户wytshadow 密码是gaUoCe34t1 进行登录

登录进行发现如下信息：

发现了可执行文件oohfun，然后执行这个文件，结果是屏幕一直出现

 iM Cr@zY L1k3 AAA LYNX

 经过确认可知LYNX是个命令行的浏览器，查看下sudo的特权

sudo -l

 发现此账户是可以直接使用root权限开启nginx

使用find命令查找跟nginx相关的目录， find / -name nginx 

发现nginx的配置目录在/etc/nginx//etc/nginx/sites-enabled/ 里面有个default文件，查看配置文件信息如下：

    

 大概意思就是开启nginx服务并监听8080端口，外部访问的user-agent只能是LYNX，否则就返回403

尝试开启nginx服务

 sudo /usr/sbin/service nginx start

 

 尝试直接使用浏览器访问，显示403，这也就验证我上面所说的

 那么我们尝试使用lynx访问，在kali上安装此命令工具

sudo apt-get install lynx

 发现最新的2020版本的kali装不了，那我就换一种方式访问

因为我们已经知道了目标靶机的8080端口是使用nginx通过user-agent来判断来源的，而这个user-agent我们是可以更改的，所以我可以直接使用burpsuite进行更改即可，其他插件也都是可以操作的，具体如下：

获得账户和密码，如下：

genphlux:HF9nd0cR!

 开始登录账户genphlux 得到如下信息：

 发现了一个新的用户，并且含有对于的私钥，那么可以将这个私钥复制到本地将权限改为600就可以直接连接上去了

chmod 600 id_rsa.tr

ssh -i id_rsa.tr 192.168.5.132 -l maleus

 查看viminfo信息，发现账户maleus的密码

 密码是： B^slc8I$

同此账户的密码尝试查看sudo的权限

根据上述显示，可以知道此文件名使用sudo是具备root权限，尝试查看此文件是什么类型的文件

 发现此文件是可执行文件，那么就可以判断，如果此文件使用sudo权限执行，那么就可以提权为root用户，所以前提是要更改里面的代码为提权代码，目前此文件执行的效果如下：

 我们尝试复制此文件到一个新的文件名称为dont_even_bother.c 在此文件使用vim写入提权代码，具体如下：

int main (void){
        setresuid(0,0,0);
        system("/bin/sh");
}

然后删除原有的文件名dont_even_bother ，尝试使用gcc编译为此文件名的可执行文件

  gcc dont_even_bother.c -o dont_even_bother

 文件已经生成，那么就可以直接提权操作了，看下面操作：