渗透测试实战-Vulnhub-Mr-Robot

Mr Robot

简介
- Based on the show, Mr. Robot.（电视剧黑客军团）
- This VM has three keys hidden in different locations. Your goal is to find all three. Each key is progressively difficult to find.
- The VM isn't too difficult. There isn't any advanced exploitation or reverse engineering. The level is considered beginner-intermediate.
- 下载连接
  - Download (Mirror): https://download.vulnhub.com/mrrobot/mrRobot.ova
  - Download (Torrent): https://download.vulnhub.com/mrrobot/mrRobot.ova.torrent
  - 普通下载速度较慢，使用IDM下载到百分之３０左右没法继续链接，多是个别状况，后来使用FreeDownloadManager成功下载
- 在导入虚拟机后发现，它默认的网络模式为桥接，桥接在物理机的无线网卡上，为了方便我将Kali的网络模式也改成桥接在无线网卡上，这样在探测存活主机时可以成功探测到、
- 一些参考的Walkthrough，在原网站上还有更多的能够参考查阅
  - https://bryceandress.github.io/2016/07/02/Mr-Robot-CTF.html
  - https://www.linkedin.com/pulse/vulnerable-vm-mr-robot-1-ctf-walkthrough-dehvon-curtis
- 另外须要注意的一点是，在这个虚拟机的描述中提到，
准备阶段
- 打开靶机以及Kali
  - 靶机
  - Kali
- 探测存活主机，使用两种方式
  - netdiscover
    - 一样是PCS的那个，地址为192.168.1.15
  - arp-scan -l
- 使用nmap探测开放端口及服务
  - 发现SSH服务关闭，仍是开放了HTTP服务说明可能有这么一个网站
前期的了解准备
- 访问这个Web服务看看有什么
  - 感受还挺好玩的样子，开始自动登陆root，后面出现了一段话，提示能够输入下面的命令
- 挨个尝试一下看看
  - prepare
    - 是一个视频，来源于电视剧黑客军团，后面的应该也都是
  - wakeup 仍是个视频
  - inform
    - 就是一些图片和话语
  - question
    - 一些图片
  - join
    - 提示输入入伙邮箱什么的
  - 这些具体的信息或许会有用
- 一样的尝试使用工具探测一下，nikto -h 192.168.1.15
  - 算是有所发现的
    - 探测到了蛮多东西的，尤为是关于wordpress的相关信息
    - easily to brute force file names,在提供的网址能够查看相关的信息，有安装版本，admin登陆等等
  - 在使用dirb时，发现不少目录
    - 针对性的尝试一下，好比readme,admin,index,login,robot,robots.txt,重要点的：http://192.168.1.15/wp-admin/
  - 进行目录的探索,发现第一个flag
    - robots.txt
      - 起初在admin下的txt文件中没有看到有用的，原来是查看错了，如今已经找到了第一个flag
      - 访问这个user-agent
        
        是一个代码文件，能够保存看看
        
        像是一个字典，用户名之类的吧
      - 直接访问flag
        
        获得第一个flag
    - index.html,index.php,打开后的效果都一致，没有什么显示的东西，查看源码
      - 其中有一句提示的注释是一个提示升级浏览器的话语
        
        
    - readme
    - /admin/video
      - 没有权限
    - /wp-login,和/wp-admin-login是同样的
进一步探索
- 前期知道并发现是wordpress平台，能够进行必定的尝试
- 经过查阅资料，能够联想到以前获得的一个相似于用户名字典的文件
  - The great/horrible thing about Wordpress is that it tells you when you have a correct username and when you entered a username that does not exist
  - 这部电视剧的主人公叫Elliot，能够做为用户名尝试
    - 发现确实有这么个用户
  - 接着可使用wpscan工具进行扫描，方法：https://www.freebuf.com/sectool/174663.html
    - 在知道有一个用户名为elliot后可采用wpscan 爆破出密码，使用的字典就是下载好的fsocity.dic
      - wpscan --url http://192.168.1.15 -P ~/Download/fsocity.dic -U elliot
      - 基本的扫描，版本信息什么的
      - 接着是爆破的过程，多是由于在虚拟机中比较慢，足足有半个小时，最后获得结果
        
        获得了密码ER28-0652
    - 或者使用burpsuite抓包，进行暴力破解，用户名和密码均可以进行破解
- 经过前面的破解，获得了一个用户名：Elliot 及其密码：
  - 登陆界面
利用反弹shell获取权限
- word press由PHP开放，咱们须要一个php的shell
- 使用命令查找关于php-reverse的shell
  - find / -name php-reverse-shell.php
    - 找到了几个，查看试试
- 使用含有wordpress的那一个，在，editor中编辑404.php文件，替换为找到的shell，设置好IP和port
  - 点击update
- 在Kali上监听相应的端口，并在浏览器中访问修改过的404.php，获得权限
  - 注意监听的命令与以前的有细微的差异
得到权限后浏览目录找寻flag
- 首先读取一下靶机的密码
  - cat /etc/passwd，发现有robot这个用户，进入这个用户的目录
- 在robot中找到了文件，还有一个password文件
  - 发现没有权限查看
  - 而且是robot的文件
- 根据提示采用MD5解密那一段字符串
  - 获得robot的密码是a~b
- 尝试使用新的用户和密码登陆
  - su robot
    - 提示须要从终端运行
  - 想到以前使用python能够打开终端，进行尝试，最终获得了第二个flag
    - 记住python -c 'import pty'pty.spawn("/bin/bash")'用到的比较多注意单引号的位置
Linux提权
- Linux提权——利用可执行文件SUID https://www.anquanke.com/post/id/86979
  - 搜索符合条件的进行提权三种搜索的方式
    - find / -perm -u=s -type f 2>/dev/null
    - find / -user root -perm -4000 -exec ls -ldb {} \;
    - find / -user root -perm -4000 -print 2>/dev/null
  - 搜索具备root权限的程序
    - nmap vim find Bash More Less Nano cp等，目前使用过nmap pip pyton
  - 还能够利用find
- rbash绕过
尝试得到root权限
- 起初发现robot用户不能访问一些目录
- 探索其余目录，寻找能够有属主为oot的东西，使用find命令
  - find / -user root -perm -4000 -print 2>/dev/null
- 找到一个nmap
  - 听说是老版本，而nmap通常须要root权限 kali上的版本要高不少
- 了解可知，nmap（2.02至5.21）具备交互模式，interactive这个命令容许用户执行Shell命令
  - 使用nmap --interactive 进入交互模式，输入！sh进入终端模式
    - 在交互模式输入help查看道有一条参数能够执行shell命令，，sh就表明的是shell
- 最终在root目录下找到最后一个flag