nmap -sS -Pn -A 10.129.10.105查询到开放的端口及服务：22-ssh、111-rpcbind、2049-nfs、612-mountd，如图：
showmount -e 10.129.10.105发现存在可远程挂载的目录：/home/user/storage(everyone)尝试挂载目录及其上级目录后发现仅可挂载目录：/home/user/storage(everyone)
挂载目录：mount -t nfs 10.129.10.105:/home/user/storage /tmp/test，发现存在一个压缩文件：backup.7z
解压压缩包时，发现有密码，于是开始破解压缩包密码,破解可使用rarcrack暴力破解或通过7z命令进行字典爆破。其中，rarcrack破解命令为：rarcrack --threads 4 --type 7z backup.7z；7z破解脚本：7z-crack
./7z-crack.sh /tmp/backup.7z /usr/share/wordlists/rockyou.txt最终，7z破解脚本成功破解到压缩包密码：chocolate
压缩包加压后，发现了id_rsa和id_rsa.pub，于是猜测可直接通过id_rsa.pub登陆，在XSHELL中通过id_rsa.pub登陆时，需要输入密码，于是，使用工具破解id_rsa文件的密码，破解工具。
./id_rsa-crack.sh /tmp/id_rsa /usr/share/wordlists/rouckyou.txt最后，拿到id_rsa密码：12345678
进入shell后，发现当前用户是一个ksh，系统是FreeBSD 6.4的，搜索之后发现内核没有可用来提权的漏洞，于是将重点放在配置、文件和服务上。发现etc目录下有doas配置，发现当前用户可用doas提升到root访问/usr/bin/less来访问/var/log/auth.log文件，于是联想到linux系统中的SUID提权，于是，尝试从less到shell的跳转，最后无法跳转，原因暂不清楚；通过输入h后发现可以使用e来读取一个新的文件，于是读取到flag。
免责声明：本站发布的内容（图片、视频和文字）以原创、转载和分享为主，文章观点不代表本网站立场，如果涉及侵权请联系站长邮箱：is@yisu.com进行举报，并提供相关证据，一经查实，将立刻删除涉嫌侵权内容。
