EvilBox：One

项目地址：https://download.vulnhub.com/evilbox/EvilBox---One.ova

是一个打包好的镜像文件

注意：导入 ova 时一定要选择我已移动，否则没网

使用 Nmap 扫描出开放服务及操作系统版本

文件包含

evil.php

扫描目录发现 /secret

继续扫描出 /secret/evil.php 文件，FUZZ 出参数是 command，测试存在文件包含漏洞

利用 PHP 伪协议读取源码

解码得到

1
2
3
4
<?php
    $filename = $_GET['command'];
    include($filename);
?>

尝试读取用户私钥

1
php://filter/read=convert.base64-encode/resource=/home/mowree/.ssh/id_rsa

解码保存私钥后连接发现需要密码

利用 ssh2john 生成 hash 然后使用 john 爆破出来是 unicorn

提取

权限配置不当

上传 linpeas.sh 发现 /etc/passwd 可写

按照 root 用户的格式新增一个用户写入到 /etc/passwd 文件中，权限改为 0 即可