先nmap一下：
发现2049端口开放了nfs网络文件系统，showmount查看nfs服务器共享信息，-e指定IP：
设置本地的挂接点：
进行挂载：mount [-t vfstype] [-o options] device dir（device 表示要挂接(mount)的设备，dir表示挂接点(mount point)。）
尝试创建1001组id1001用户id的用户：
groupadd 命令用于创建一个新的工作组，新工作组的信息将被添加到系统文件中。实例：groupadd -g [id] group
useradd命令用于创建一个用户账号，--uid指定uid，--group指定所属组
于是我们创建了一个uid个gid都是1001的新用户newuser，然后su - newsuer (使用su - 是为了同时切换shell环境，参考http://www.ha97.com/4001.html)
这时候可以正常访问.ssh目录了：
其中的user.txt中含有第一个flag：
然后id_rsa.pub里面是公钥，可以看到用户名是karl：
那么id_rsa应该就是对应的私钥了，拷贝下来进行ssh登录试试（如果id_rsa使用不了可能需要chmod 600 id_rsa 一下，好像是为了不允许他人访问）：
那么使用john破解密码，得到密码是sheep：
连接成功以后发现是个rhash，很多命令都无法执行：
那么重新连接并指定shell：
寻找具有setuid的root的文件：
发现有一个cp可以使用，那么下面的思路就是通过cp覆盖原有的passwd文件：
使用openssl生成newroot-666的密码加密（应该是MD5吧）：
然后将靶机的/etc/passwd文件拷贝到kali端，并在最后一行添加上newroot用户的相关信息：
再在kali端开启SimpleHTTPServer：
靶机端通过wget下载kali端的passwd：
下载成功后通过cp命令覆盖靶机上原有的/etc/passwd，然后su newroot并输入密码666即可：
最终获得了flag：
结束。
参考：
https://www.cnblogs.com/hack404/p/12129105.html
https://zhuanlan.zhihu.com/p/361474839
