Linux/OpenAdmin
Enumeration
nmap
用nmap扫描发现目标对外开放了22和80，端口详细信息如下
从nmap的结果看到，是apache的default page，使用工具跑一下目录，看了官 网文档的结果然后写个小字典节约时间，扫描结果如下
On the page at /music, there is a link that doesn't point to another link on / music, but rather an administration tool. What is the relative path? 这个问题引导应该是要去看/music页面的源代码，里面有一些其他的链接，应该 是/ona
Exploitation
OpenNetAdmin 18.1.1 Remote Code Execution
访问该链接后就看到了版本信息，可以回答第三个问题
提示了版本信息，并且知道该版本是一个很久的版本，所以先去搜搜有没有什 么现成的漏洞，然后发现有现成的rce，将利用脚本镜像到工作目录
查看脚本发现利用xajaxargs参数来注入命令，输入服务的url
利用脚本搞了很久都没成功，查看别人写的文章才发现，是因为没有在url的最后加/
试了两三个命令去链接kali机，但都没有成功，引导的题目让填写用户，将 www-data填写提交后问jimmy的密码，有可能这个就是关键 但是脚本得到的shell并不能利用，因为脚本只是读取命令然后输出结果，然后无限循环，尝试直接利用脚本中关键的指令来反弹shell，先尝试执行id，发现成功了
┌──(kali㉿kali)-[~/vegetable/openadmin]
└─$ curl --silent -d
"xajax=window_submit&xajaxr=1574117726710&xajaxargs[]=tooltips&xajaxar gs[]=ip%3D%3E;id&xajaxargs[]=ping" http://10.10.10.171/ona/
...[snip]...
uid=33(www-data)
gid=33(www-data) groups=33(www-data)
...[snip]...然后替换id为反弹shell的指令
提前在kali中开启监听，回车后即可得到一个www-data shell
Lateral Movement
jimmy
按照刚才的提示，现在应该去寻找jimmy的密码，最终在 database_settings.inc.php中找到了数据库的用户名密码
考虑可能重复使用密码，很幸运，利用该密码成功登录jimmy
可以去到其他地方
joanna
index.php显示了一个登录页面，其中还有hash
main.php显示如下，疑似登录后会返回joanna的密钥
进一步发现在本地监听了一个52846端口，有可能和刚才的网站有关系
刚刚的index.php中还得到了一个hash，先尝试破解该hash值
使用命令创建远程ssh隧道，将会把目标的52946端口转发到kali的8888端口
现在就可以使用jimmy/Revealed登录该网站
登陆之后，按照代码中描写，将得到joanna的ssh密钥
然后使用ssh2john生成hash，john来破解
利用rsa密钥登录joanna，然后可以拿到user的flag
ssh -i rsa [email protected]
Privilege Escalation
发现可以免密使用root权限执行以下命令
恰巧nano可以用来提权
执行命令sudo -u root /bin/nano /opt/priv
使用nano打开后，nano允许使用快捷方式插入文件，按ctrl + R后再次按ctrl + X 执行系统命令，然后执行上图中最后一行的命令即可
