本篇文章仅用于技术交流学习和研究的目的，严禁使用文章中的技术用于非法目的和破坏，否则造成一切后果与发表本文章的作者无关
靶机是作者购买VIP使用退役靶机操作，显示IP地址为10.10.10.120
本次使用https://github.com/Tib3rius/AutoRecon 进行自动化全方位扫描
执行命令 autorecon 10.10.10.120 -o ./Chaos-autorecon
开放了很多端口，看上去基本上把邮件服务能开的端口都给开了，我们看看web应用，这里注意一下，直接IP地址访问，会下显示IP不被允许，然后绑定hosts就可以
功能都点击了几把没发现啥东西，看看爆破目录的扫描结果
经过测试发现访问wp目录，会访问到wordpress程序，访问显示一个页面被保护了，需要输入密码才能够查看，既然是wrodpress程序，使用wpscan扫描一把看看
wpscan --url http://10.10.10.120/wp/wordpress/ -e
发现存在用户human把这个当作密码试一把进去了
得到密码之后就尝试登录目标开放的邮件服务，这里测试了几下，详细的参考命令可以参考：https://wiki.dovecot.org/TestInstallation
一顿操作获取了两个base64编码的文件， 将其解码重定向到文件中，具体如下
这个是解码出来的python加密另一个文件的代码
是加密数据
解密代码如下
from Crypto import Random from Crypto.Cipher import AES from Crypto.Hash import SHA256 def getKey(password): hasher = SHA256.new(password) return hasher.digest() with open('enim_msg.txt') as f: c = f.read() filesize = int(c[:16]) print("filesize: %d" % filesize) iv = c[16:32] print("IV: %s" % iv) key = getKey("sahay") cipher = AES.new(key, AES.MODE_CBC, iv ) print cipher.decrypt(c[32:]) 或者 from Crypto.Cipher import AES from Crypto.Hash import SHA256 chunksize = 64*1024 password = "sahay" key = SHA256.new(password.encode('utf-8')).digest() msg = "" with open('enim_msg.txt') as f: f.read(16) #filesize iv = f.read(16) cipher = AES.new(key, AES.MODE_CBC, iv) while True: chunk = f.read(chunksize) if not chunk: break msg += cipher.decrypt(chunk) print msg
解密出来的结果
上面得出来的还是经过base64编码了，那么对其进行解码如下
得到一个url链接，我们访问看看
按照上面输入，随便输入然后点击Create PDF使用burpsuite进行抓包得到如下
看到响应信息含有pdfTex谷歌搜索了下漏洞，参考：https://0day.work/hacking-with-latex/
测试一把
可以正常执行命令，开始反弹shell
成功反弹shell，发现权限很低，我使用上面得到的账户ayush的密码进行登录切换，可正常登录，但是发现命令都执行不了，被限制了，根据经验查看了下全局环境变量，发现只有本地家目录的其中一个路径在全局环境变量中，我尝试修改全局环境变量
export PATH=/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin
完成之后可正常执行命令，读取了user.txt ，开始提权，通过查看当前家目录的所有文件，发现文件夹.mozilla/含有加密的firefox登录凭据，使用zip命令将此文件夹压缩通过nc传至本地kali进行解密
传到本地kali之后解压，然后使用https://github.com/unode/firefox_decrypt进行解密
