VulnHub-SkyTower: 1 靶场渗透测试

时间：2021.2.19

靶场信息：
地址：https://www.vulnhub.com/entry/skytower-1,96/
发布日期：2014年6月26日 
目标：得到root权限&找到flag.txt

一、信息收集

1、获取靶机IP地址

nmap -sP 192.168.137.0/24

由探测的结果可知，靶机的IP为192.168.137.138

2、扫描开放的端口和服务

nmap -sS -sV -T5 -A -p- 192.168.137.138

得到开放的端口信息：

22/tcp   filtered ssh
80/tcp   open     http       Apache httpd 2.2.22 ((Debian))
3128/tcp open     http-proxy Squid http proxy 3.1.20

二、漏洞探测

由于开放了web应用，我们通过浏览器去访问

猜测这个表单存在sql注入，我们在输入框中输入‘，提交发现报错了

说明这里存在sql注入，我们通过BurpSuite抓包进行测试

根据报错可知，or和=被过滤了

三、漏洞利用

但是or可以通过||进行代替

返回正常，得到john/hereisjohn

根据得到的用户名和密码，应该是让我们通过ssh登录，但ssh登录失败，并且nmap扫出的22号端口是被过滤的，3128号端口开了个代理，我们试试通过这个代理进行访问，这里可以使用proxytunnel这款工具

proxytunnel简介

proxytunnel是一款利用http connection封装技术建立隧道的工具

使用条件：防火墙禁止DNS和ICMP隧道，只允许代理服务器上网的情景

常用命令：

-a 指定本地侦听端口
-p 使用代理
-r 使用第二个代理
-d 指定访问的目标和端口

proxytunnel -p 192.168.137.138:3128 -d 127.0.0.1:22 -a 6666

登录之后返回Funds have been withdrawn，然后在后面跟条命令，发现可以执行，相当于算是登录成功（问题在于bashrc文件）

那这里我们就直接运行bash

我们进到/var/www目录下查看login.php的代码，发现了php连接mysql的信息，当前数据库和root密码等，root/root

有了root的密码，我们登进mysql，然后查看Login表的数据

1	john@skytech.com	hereisjohn
2	sara@skytech.com	ihatethisjob
3	william@skytech.com	senseable

四、提权

第一个账户我们用过了，我们试试用第二个账号登录ssh，然后sudo提权试试，下面有提示可以进入root用户

然后进入accounts目录查看发现root用户信息，sara具有对二进制文件的sudo访问权限，使用路径遍历来查找其内容/root/flag.txt，得到密码theskytower

总结

总体上看这台靶机的漏洞还是很好找的，就是第一次接触使用kali下的proxytunnel进行代理转发。