Vulnhub-maEnuBox

内网确定目标IP：192.168.174.128

信息收集一波  端口：

21端口存在匿名登陆

22端口openssh 7.6p1

80端口使用的中间件为apache2.4.29

3389远程桌面

8065等下打开来看看

再来收集一波80端口的网站信息：

主机系统：ubuntu

服务器名称：mattermost(这个也可能是作为登陆名称可以做为一个爆破点)

继续收集：

收集：

80端口没什么东西啊

小结一下：

192.168.174.128

ubuntu 16.04 + Apache 2.4.29

可能存在的用户名mattermost  这个可能是ssh或者ftp的爆破点

以上是80端口结束

下面看看8065端口：

对于登陆页面：

1.SQL注入可以sqlmap走一波

2.弱口令爆破

3.忘记密码可以看下逻辑

4.目录扫一下

先看看8065端口的目录有什么：

卒

两个web页面没有敏感目录，21端口的ftp也没有信息

Nikto扫到的页面来康康：

页面实现跳转：

尝试文件包含：

卒

以上的总结：

21端口的匿名登陆--卒

80端口信息--OS和主机名

8065端口--登陆页面

网站的敏感目录--卒

看下其他大佬的思路，UDP端口存在TFTP登陆

TFTP再udp 69端口

把刚刚NIKTO扫出来的README.md下载下来看看

尝试登陆8065登陆页面、SSH以及FTP

后台登陆成功

查看已经安装的插件

ZOOM视频插件

登陆URL

登陆FTP

再mattermost用户文件夹下面找到这两个文件

使用之前的mattermost作为用户名尝试登陆

密码为Welcome!!!

提权

看下文件，只要密码填写正确就能获取root的bash

愿天堂没有逆向：

看看他的交互

里面会有一个跳转来判断是否密码正确

使用radar2进行分析

使用vvs进行查看 F8单步执行 “i”可以转换为C语言格式

这一条就是我们看见的交互字符串 提示我们输入密码

再往下看 我们使用"i"键进行转换为c语言格式 详细查看radar2的快捷键("i"为转换  “h”左移动 “l”右移动 “j”上移动 “k”下移动)

上图中如果我输入的数字减去0xf447为0也就是假，var这个变量就是假的(值为0)

下面的判断jne跳转就不会实现跳转向下运行后获取root的bash否在跳转到0x8ad处提示输入错误

根据跳转前的十六进制0xf447转换为十进制进行输入 62535

获取bash