VulnHub-SkyTower: 1 靶场渗透测试
时间：2021.2.19
靶场信息：
地址：https://www.vulnhub.com/entry/skytower-1,96/
发布日期：2014年6月26日
目标：得到root权限&找到flag.txt
一、信息收集
1、获取靶机IP地址
nmap -sP 192.168.137.0/24
由探测的结果可知，靶机的IP为192.168.137.138
2、扫描开放的端口和服务
nmap -sS -sV -T5 -A -p- 192.168.137.138
得到开放的端口信息：
22/tcp filtered ssh
80/tcp open http Apache httpd 2.2.22 ((Debian))
3128/tcp open http-proxy Squid http proxy 3.1.20
二、漏洞探测
由于开放了web应用，我们通过浏览器去访问
猜测这个表单存在sql注入，我们在输入框中输入‘，提交发现报错了
说明这里存在sql注入，我们通过BurpSuite抓包进行测试
根据报错可知，or和=被过滤了
三、漏洞利用
但是or可以通过||进行代替
返回正常，得到john/hereisjohn
根据得到的用户名和密码，应该是让我们通过ssh登录，但ssh登录失败，并且nmap扫出的22号端口是被过滤的，3128号端口开了个代理，我们试试通过这个代理进行访问，这里可以使用proxytunnel这款工具
proxytunnel简介
proxytunnel是一款利用http connection封装技术建立隧道的工具
使用条件：防火墙禁止DNS和ICMP隧道，只允许代理服务器上网的情景
常用命令：
-a 指定本地侦听端口
-p 使用代理
-r 使用第二个代理
-d 指定访问的目标和端口
proxytunnel -p 192.168.137.138:3128 -d 127.0.0.1:22 -a 6666
登录之后返回Funds have been withdrawn，然后在后面跟条命令，发现可以执行，相当于算是登录成功（问题在于bashrc文件）
那这里我们就直接运行bash
我们进到/var/www目录下查看login.php的代码，发现了php连接mysql的信息，当前数据库和root密码等，root/root
有了root的密码，我们登进mysql，然后查看Login表的数据
1 john@skytech.com hereisjohn
2 sara@skytech.com ihatethisjob
3 william@skytech.com senseable
四、提权
第一个账户我们用过了，我们试试用第二个账号登录ssh，然后sudo提权试试，下面有提示可以进入root用户
然后进入accounts目录查看发现root用户信息，sara具有对二进制文件的sudo访问权限，使用路径遍历来查找其内容/root/flag.txt，得到密码theskytower
总结
总体上看这台靶机的漏洞还是很好找的，就是第一次接触使用kali下的proxytunnel进行代理转发。
