本文由 简悦 SimpRead 转码， 原文地址 mp.weixin.qq.com
大余安全
一个每日分享渗透小技巧的公众号
大家好，这里是 大余安全 的第 27 篇文章，本公众号会每日分享攻防渗透技术给大家。
靶机地址：https://www.vulnhub.com/entry/mr-robot-1,151/
靶机难度：中级（CTF）
靶机发布日期：2016 年 6 月 28 日
靶机描述：根据表演，机器人先生。
此 VM 具有隐藏在不同位置的三个键。您的目标是找到全部三个。每个密钥逐渐难以找到。
VM 不太困难。没有任何高级开发或逆向工程。该级别被认为是初学者 - 中级。
目标：得到 root 权限 & 找到 key1~3
请注意：对于所有这些计算机，我已经使用 VMware 运行下载的计算机。我将使用 Kali Linux 作为解决该 CTF 的攻击者机器。这里使用的技术仅用于学习教育目的，如果列出的技术用于其他任何目标，我概不负责。
一、信息收集
我们在 VM 中需要确定攻击目标的 IP 地址，需要使用 nmap 获取目标 IP 地址：
我们已经找到了此次 CTF 目标计算机 IP 地址：192.168.56.124
扫到了 22、80 和 443 端口...22 去 root 不行... 直接访问 80...
直接访问 robots.txt 文件试试...
直接找到了第一个 key... 还有一个. dic 后缀的文件，一看这就是个字典文件
果然是字典，套路应该是密码字典... 这边爆破下网站获取更多信息...
可以看到这是一个 WordPress 网站，以及发现了 / wp-login...
登录 wordpress 的页面.... 找下用户名用这个试试...（admin 不成功）
发现随意输入用户密码都会回复这个... 错误：无效的用户名或电子邮件...
查看源代码，我这里可以找到正确得账号... 利用 robots.txt 里面获取得字典对账号进行爆破试试...
hydra -L dayu.txt -p dayutest 192.168.56.124 http-post-form '/wp-login.php:log=^USER^&pwd=^PASS^&wp-submit=Log+In:F=Invalid username'
成功发现了账号...Elliot
下面我们来找找密码....
使用这个命令.... 去找到密码
wpscan -u 192.168.56.124 --username Elliot --wordlist /root//Desktop/dayurebot/dayu.txt
等待跑....
这里等待了 5 分钟扫完了发现不了，我把 Elliot 改成了 elliot 试试后，发现了密码...
成功登陆进来了....
二、提权
成功登录后，发现有文件上传的地方....
If you have a theme in a .zip format, you may install it by uploading it here.
上传文件，这里我以为只能上传 zip，两个都上传上去了....
在 media 素材里看到我们上传的文件... 打开它...
我们现在必须得访问它执行它，才可以获得权限... 编辑查看更多的详细信息...
查看到了 url 访问它... 在本地开启 NC...
获得低权限用户... 当然页面还有很多地方可以获得这个低权用户...
python -c 'import pty; pty.spawn("/bin/bash")'
进入 tty
这边找到版本想用内核提权... 发现试了几次没成功...
一个一个找文件夹，找到了 key2 看不了... 想想
找了半天就在原目录下一个 passwd 文件... 尴尬.... 查看试了后进不去发现是 md5 值，去解码后成功查看到 key2...
这边通过 robot 提到了 root 权限...find 直接查找 key3 试试....
这是 root.... 这边查看下底层有那些文件... 搜索 setuid 二进制文件
find / -user root -perm -4000 2>/dev/null
竟然安装了 namp....
Nmap 不会有 setuid 位，版本也低.... 利用 priv 升级漏洞进行 bash 提权试试....
成功提到 root 权限... 找到 key1~3 值....
学习使我快乐~~ 加油！！！
由于我们已经成功得到 root 权限 & 找到 key1~3，因此完成了 CTF 靶机，希望你们喜欢这台机器，请继续关注大余后期会有更多具有挑战性的机器，一起练习学习。
如果你有其他的方法，欢迎留言。要是有写错了的地方，请你一定要告诉我。要是你觉得这篇博客写的还不错，欢迎分享给身边的人。
如果觉得这篇文章对你有帮助，可以转发到朋友圈，谢谢小伙伴~
欢迎加入渗透学习交流群，想入群的小伙伴们加我微信，共同进步共同成长！
大余安全
一个全栈渗透小技巧的公众号