HackMyVm靶场-Hommie靶场渗透实战

原创

架构师面试
架构师面试

白帽子教程

2026年10月6日 16:35
甘肃

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

靶机地址：

https://hackmyvm.eu/machines/machine.php?vm=Hommie

靶机下载完成之后将其导入到VisualBox中如下所示：

接下来我们就进入到Kali攻击机中来查看一下局域网中的靶机IP地址是多少。

arp-scan -l

最终经过确定之后，应该是192.168.1.96这个IP，访问一下看看

从结果来看，确实是这个IP地址。

接下来我们就来看看这个IP的端口开放情况。

nmap -T4 -sV -A -p- 192.168.1.96

经过探测之后，发现还存在21端口、22端口。

通过80端口上的内容我们得到了一个关键信息。

alexia, Your id_rsa is exposed, please move it!!!!! Im fighting regarding reverse shells! -nobody

也就是说这有两个用户alexia nobody 并且提示我们要得到alexia的id\_rsa。其实根据之前的经验我们就知道了nobody用户其实就是21端口上的用户，也就是可以免密登录。我们来尝试一下。

ftp 192.168.1.96 Connected to 192.168.1.96.220 (vsFTPd 3.0.3)Name (192.168.1.96:kali): anonymous

登录成功之后可以看到一个隐藏的路径Web和index.html文件，这里的index.html文件猜测就是刚刚我们在80端口上访问的文件。接下来我们看看隐藏目录下是啥？

还是一个index.html的文件，我们将这个文件下载下来。

这个是里面的文件。外面的文件的内容是空的。既然这样的话我们是不是可以回传一个WebShell.php上去看看能不能建立起反射Shell。

接下来我们尝试建立一下反射Shell。

发现当我们访问文件的时候，文件被下载下来了，也就是说这个操作不行。我们再试试其他的方案。根据提示应该是可以得到一个id\_rsa文件的。我们看看怎么才能得到这个文件。

nmap -sU 192.168.1.96 -p 1-200

我们用这个命令来进行小端口的UDP扫描，之前我们扫描的都是TCP请求。经过扫描之后我们发现了一些新的内容。开放dhcpc tftp 服务。

我们可以尝试连接一下这个UDP的服务。

可以看到这个服务确实可以执行获取到id\_rsa的内容。

接下来我们尝试登录一下

这是为什么呢？是因为id\_rsa的权限。

提权之后，我们就可以进入到alexia这个用户下。并且我们得到了第一个flag。

接下来我们就需要看看如何提权了。这里有两个方案，一个方案就是利用Linux的最新暴露的漏洞，直接进行提权。当然这并不是我们的推荐方案，第二种就是我们继续一步一步的搜索。

find / -perm -u=s -type f 2>/dev/null

有一个文件比较可疑就是/opt/showMetheKey这个文件。我们直接执行一下这个文件看看效果。

其实这个文件就是id\_rsa的内容。既然这样的话，我们就可以利用这个文件将root的id\_rsa内容获取到从而达到提权的目的。

下载下来之后我们来分析一下这个文件。

发现一个核心的代码

cat $HOME/.ssh/id_rsa

这个代码给我们的启示就是通过修改$HOME的值来达到获取root的id\_rsa的结果。

alexia@hommie:/opt$ export HOME=/rootalexia@hommie:/opt$ /opt/showMetheKey

接下来我们就将这个内容复制到Kali的id\_rsa上或者是可以新建一个文件来存储。

这样我们就提权成功了，接下就是看看找到第二flag。

这样就渗透测试成功了