ARIES

 Challenge 3 - SkyLark(12) 下一台選定 172.16.xxx.0/24 網段的最後一台 .31 之前有掃 31，有開 22、25、79、2323 nmap 掃的時後發現 25 & 79 & 2323 顯示 closed 改用 Port mapping 一個一個掃掃看，25、˙79、2323 25 & 79 一樣被拒絕訪問，tcpwrapped 表示 Port 有開但一放問就被斷開，有可能 IP 有檔 機器重開後重新掃描 79 Port 如下 metasploit 直接進去了 但是是一個有限制的 shell，whoami 是 nobody 讀不到 proof.txt 但能讀到 local.txt 經過一番測試後無法拿到進一步的 interactive shell 與提權 將目標改重新掃描一次 2323 nmap 測試如下 nc 測試看看結果進去了，看來是個簡易的 shell 且直接就 root 了 根目錄下直接拿到 proof.txt 更新攻擊列表

 Challenge 3 - SkyLark(11) 下一台回到外網的 .224 機器 在上個章節拿到的 legacy 憑證，經帳號密碼噴灑後發現可以登入 .224 直接 SSH  登入獲取第一階段的 local.txt 電腦名稱是 amsterdam05 cat /etc/passwd cat /etc/crontab sudo -l SUID check pspy64 看來就是在打 .30 時於 .224 上 8000 Port 發現的 debug.txt 檔案，對 PE 沒有幫助 執行 linpeas.sh 看到 /vim.basic 有 Capabilities 的利用 查找 GTFO 如下 切換到目錄 /usr/bin 然後執行   ./vim -c ':py import os; os.setuid(0); os.execl("/bin/sh", "sh", "-c", "reset; exec sh")' 發現會進入 vim 編輯模式且沒有成功 root GTFO 有說明執行的時候要使用 python3，所以修改指令如下 ./vim.basic -c ': python3 import os; os.setuid(0); os.execl("/bin/sh", "sh", "-c", "reset; exec sh")' 執行後成功提權為 root，並拿取 proof.txt 更新攻擊列表

 Challenge 3 - SkyLark(10) 下一台選定從 .224 進入的另一個 172.16.xxx.0/24 內網的 .30 因為已經拿到了類似 .30 的 RDP 帳號密碼，但 .30 看來不是 Windows 透過 .32 使用 nc 對 .30 進行 Port Scan，指令 : ./nc -v -z -n -w 1 172.16.212.30 1-65535 看來 .30 僅有開 2 個 Port，22 & 3390 順便先掃一下 31，有開 22、25、79、2323 使用 chisel 建立通道，然後 RDP 試試看 └─$ proxychains4 -q xfreerdp /v:172.16.212.30 /port:3390 /u:desktop /p:'Deskt0pTermin4L' /d:SKYLARK.com /drive:aries,/home/kali/lab3/30 看來畫面是全黑的甚麼都看不到 直接 mapping 172.16.212.30 的 3390 Port 到 kali 的 3390 Port 再試一次看看 └─$ xfreerdp /v:127.0.0.1 /port:3390 /u:desktop /p:'Deskt0pTermin4L' /d:SKYLARK.com /drive:aries,/home/kali/lab3/30  發現畫面一樣黑的 nmap 掃一下 3390 看看是啥服務 3390/tcp open  ms-wbt-server xrdp Web 開了也沒有反應 hydra RDP 測試看看，看來是個 RDP 沒有錯，帳號密碼也可以用 後來將 22 Port mapping 到 kali 的 2222 然後 htdra 測試一下發現 SSH 可以直接登入 SSH 登入時既然失敗與跳錯誤，看來有檢查來源登入的機器 繞了一圈，最後從 .32 直接 SSH 進去 .30 了，順便拿到了 local.txt 再建立一個 4446 session 回來再開始 PE cat /etc/passwd 帳號 : legacy、logger、desktop cat /etc/crontab sudo -l pspy64 看到會去執行 /bin/sh /root...

 Challenge 3 - SkyLark(9) 下一台選定從外網的 .224 機器進入另一個 private 網段的 .32 rustscan snmp check nmap 22/tcp   open  ssh         OpenSSH 8.2p1 Ubuntu 4ubuntu0.5 (Ubuntu Linux; protocol 2.0) 3128/tcp open  squid-http? 8000/tcp open  http-alt    Apache/2.4.41 (Ubuntu) hydra 22 Port 爆破現有已知的帳號密碼，└─$ hydra -L ./usernames.txt -P ./passwords.txt ssh://192.168.224.224 -V 結果沒有任何發現 3128 是個 SQUID 4.10 8000 / 有個檔案 debug.txt debug.txt 檔案內容是 interface 的資訊，發現了 LAB 中 172.16.224.x/24 網段 看來要進入 172.16.224.x/24 的機器就是透過這一台機器了 回到 3128 SQUID 的服務，參考這一篇  https://book.hacktricks.xyz/network-services-pentesting/3128-pentesting-squid 以及參考這個 :  https://github.com/aancw/spose 先將 kali 的 Proxy 指向到 .224 的 3128 Port └─$ sudo vi /etc/proxychains4.conf 原有的 socks 127.0.0.1 1080 先 mark 起來 掃掃看 .224，└─$ python3 spose.py --proxy http://192.168.224.224:3128 --target 192.168.224.224 結果甚麼都沒有 掃掃看 172.16.224.30/31/32 一樣沒有東西 打開瀏覽器看一下，發現會跳出帳號密碼 使用之前 Keepass 枚舉到的帳號密碼 ext_a...