前言

本次文章只用于技术讨论，学习，切勿用于非法用途，用于非法用途与本人无关！

信息收集阶段

KALI攻击机：192.168.1.128

靶机：192.168.1.3

目标：root.txt和user.txt

nmap -A -p1-65535 192.168.1.3

开启了22端口和80端口：

http://192.168.1.3/

查看源代码：源代码中有个tips：

像是用户名和密码：

kzhh:SbWP9q94ZtE9qD

接着目录扫描走一下：

gobuster dir -w /usr/share/wordlists/dirbuster/directory-list-2.3-medium.txt -u http://192.168.1.3/ -x txt,html,php

漏洞利用阶段

http://192.168.1.3/img/

http://192.168.1.3/manual/en/index.html

有版本信息！

http://192.168.1.3/robots.txt

内容像是目录！

http://192.168.1.3/font/

http://192.168.1.3/MCP/这个真的有信息！

先看下tron.txt文件！

http://192.168.1.3/MCP/tron.txt

MASTER CONTROL PROGRAM

----------------------

Ram:

Do you believe in the Users?

你相信用户吗？

Crom:

Sure I do! If I didn't have a User, than who wrote me?

我当然知道！如果我没有用户，那是谁写的

KysrKysrKysrK1s+Kz4rKys+KysrKysrKz4rKysrKysrKysrPDw8PC1dPj4+PisrKysrKysrKysrKy4tLS0tLi0tLS0tLS0tLS0tLisrKysrKysrKysrKysrKysrKysrKysrKy4tLS0tLS0tLS0tLS0tLS0tLS0tLS4rKysrKysrKysrKysrLg==

BASE64解码：

++++++++++[>+>+++>+++++++>++++++++++<<<<-]>>>>++++++++++++.----.-----------.++++++++++++++++++++++++.--------------------.+++++++++++++.

这个是brain fuck码！

https://www.splitbrain.org/services/ook

解密后是：player

http://192.168.1.3/MCP/terminalserver/30513.txt

这个下面还有个文件：可见明文和密文文件上倒过来的！

substitute

--------------------------

plaintext

abcdefghijklmnopqrstuvwxyz

ciphertext

zyxwvutsrqponmlkjihgfedcba

这里结合前面的源代码的tips，进行解密！

得到密码：pass:SyWP9j94ZgE9jD

补充小知识：

该种加密方式的介绍：

得到用户名：player

得到密码：SyWP9j94ZgE9jD

尝试通过ssh进行登录：

第一个flag：

cat user.txt

HM************r2021

权限提升阶段

接着就是要提权到root了！！！

sudo -l和suid走起！

没啥东东！

直接上传提权侦察脚本！

这里发现了有趣的文件：/etc/passwd对于当前账户可写！

我们看下kali下该文件的权限：

看到区别了吧，当前用户可以修改/etc/passwd这个文件！

继续下面之前我们要做个试验：

我们在kali linux上新建一个账户：

useradd -m test

passwd test

12345678

12345678

cat /etc/passwd

cat /etc/shadow

我们用“openssl”生成一个新密码，然后通过替换root的“x”粘贴到/etc/passwd中。

明文：87654321

密文：.4R8vhJxOfnYg

将用户test的字段修改为openssl生成的密文！

cat /etc/passwd

在看下/etc/shadow字段！

并没有改变，接着我们登录下这个账户，看密码到底是12345678还是87654321！！！

密码是87654321！，看来身份鉴别需要先校验/etc/passwd文件，所以该文件修改后，就可以登录了！

回到这个靶机，那就很简单了，把/etc/passwd中root用户密码修改为生成的密码就可以实现登录到root账户了！！！

最后的flag：

cat root.txt

HMVM*****************gram2021