nyx Walkthrough

Recon

Recon

只有ssh和http，那就从web入手

主页只有一个logo，源代码注释中的话暂时没明白是何用意

<!-- Dont waste your time looking into source codes/robots.txt etc , focus on real stuff -->

目录扫描发现key.php

rockyou.txt爆破无果

amazing nmap script！

爆破无果、注入无果、弱口令无果、目录扫描无果…

似乎常规手段都没能获取到更多信息，最后看一遍wp

发现有师傅使用nmap —script=http-enum脚本扫描得到了一个比较有意思的路径

通过proxychins4代理nmap流量，感叹了nmap的并发能力

但整体扫描过程并没有预期外的流量，并且/d41d8cd98f00b204e9800998ecf8427e.php路径是突然冒出来的，路径来源问题暂时放一放，先把机器打完

shell as mpampis by d41d8cd98f00b204e9800998ecf8427e

尝试访问d41d8cd98f00b204e9800998ecf8427e.php，发现返回了一个私钥，网页title提示这个私钥属于mpampis用户

保存私钥，将文件权限降低尝试登录（ssh不允许在私钥文件权限过于宽松的情况下登录）

shell as root by gcc privileges

手动收集一些环境信息，发现可以sudo免密使用gcc，那么直接gcc提权即可

Some thinking

d41d8cd98f00b204e9800998ecf8427e是什么？

• 是md5加密空字符的结果

• md5是一种确定性加密算法，对于任何长度的输入都将得到相同长度的输出，空字符也不例外

当开发者认为空字符的md5值也为空时，可能引发一些逻辑漏洞