🏴☠️ TryHackMe | Bounty Hacker Walkthrough | Complete Beginner-Friendly CTF Write-up | English
三句話摘要
TryHackMe Bounty Hacker 實驗教程：從網路掃描到權限提升的完整滲透演練。 即使是「簡單」的系統也可能因多個小安全疏漏（匿名 FTP、弱密碼、過度授權 sudo 命令）串聯導致完全淪陷，理解每個環節的攻擊鏈條是滲透測試的核心。 滲透測試分為五個階段，本實驗涵蓋其中四個：(1) 認知（reconnaissance）通過 Nmap 掃描獲取目標資訊，發現服務與版本；(2) 訪問（accessing）利用 FTP 匿名登入與 Hydra 爆破工具組合獲得有效認證；(3) 權限升級（privilege escalation）是關鍵環節，通過 `sudo -l` 查詢當前用戶與 root 共同執行的程式（tar），再從 GTFOBins 查詢該程式的提權利用方法；(4) 最終通過 `sudo tar` 命令獲得 root Shell 訪問權限，讀取目標文件。
重點整理
重點- 1
滲透測試分為五個階段，本實驗涵蓋其中四個：(1) 認知（reconnaissance）通過 Nmap 掃描獲取目標資訊，發現服務與版本；(2) 訪問（accessing）利用 FTP 匿名登入與 Hydra 爆破工具組合獲得有效認證；(3) 權限升級（privilege escalation）是關鍵環節，通過 `sudo -l` 查詢當前用戶與 root 共同執行的程式（tar），再從 GTFOBins 查詢該程式的提權利用方法；(4) 最終通過 `sudo tar` 命令獲得 root Shell 訪問權限，讀取目標文件。
實用技巧與重點
乾貨- Nmap 掃描命令：`nmap -sV [IP]`
- 掃描結果：開放端口 21(FTP)、22(SSH)、80(HTTP)；版本 VSF TPD
- FTP 登入：`ftp [IP]`，用戶名/密碼為 anonymous
- FTP 下載文件：`get locks.txt`、`get task.txt`
- Hydra 爆破命令：`hydra -l [username] -P locks.txt [IP] ssh`
- SSH 登入：`ssh [username]@[IP]`
- 權限查詢：`sudo -l`（查詢用戶可執行的 root 權限命令）
- GTFOBins 網站：搜尋特定程式（tar）的提權利用方法
- 提權命令：`sudo tar -cf /dev/null /dev/null --checkpoint=1 --checkpoint-action=exec=/bin/sh`（根據 GTFOBins 結果）
- 文件尋找：`find / -name root.txt`、`grep` 命令、`cat` 命令讀取文件
- Linux 系統資訊查詢：`uname -a`、`lsb_release -a`、`cat /etc/os-release`
結論
結論“即使是「簡單」的系統也可能因多個小安全疏漏（匿名 FTP、弱密碼、過度授權 sudo 命令）串聯導致完全淪陷，理解每個環節的攻擊鏈條是滲透測試的核心。”
完整解析
詳細Bounty Hacker 是 TryHackMe 平台的入門級滲透測試實驗，展示了實務攻擊流程的完整鏈條。首先，攻擊者需要從黑暗中獲得目標資訊。講者使用 Nmap 掃描目標 IP，發現三個開放服務：FTP、SSH 和 HTTP。Nmap 不僅顯示開放端口，還通過版本掃描（-sV 參數）揭示運行的軟體版本，為後續利用奠定基礎。
接著進入訪問階段。FTP 服務允許匿名登入，這是常見的安全配置疏漏。攻擊者以 anonymous 用戶登入後，發現兩個文本文件：locks.txt（密碼字典）與 task.txt（包含用戶名 lynn）。這些檔案被下載到攻擊機上，提供了後續爆破所需的關鍵資訊。
有了用戶名和密碼字典，攻擊者轉向 Hydra 工具進行 SSH 密碼爆破。Hydra 是一個平行認證攻擊工具，能快速測試大量密碼組合。命令格式為 `hydra -l [username] -P [password_file] [IP] ssh`，工具逐一測試字典中的每個密碼，最終找到正確的憑證。成功登入後，攻擊者獲得了目標機器上普通用戶（lynn）的訪問權限。
但普通用戶權限不足以完成目標（需要讀取根目錄下的 root.txt）。這時權限提升成為必要。攻擊者執行 `sudo -l` 命令，查詢當前用戶有哪些 root 級別命令的執行權限。結果顯示 tar 命令可以以 root 身份執行。tar 是 Linux 的檔案壓縮工具，表面上與安全無關，但在 GTFOBins 資料庫中，它被記錄為具有提權潛力的程式。攻擊者從 GTFOBins 複製精心設計的 tar 命令，包含特殊參數（如 `--checkpoint` 和 `--checkpoint-action`）來執行任意 shell。最後，攻擊者執行 `sudo tar` 命令，成功獲得 root 級別的 shell，進而讀取受保護的 root.txt 文件。
關鍵時刻
Pipeline v2帶時間戳的重點，會在逐字稿層級分析上線後產生。目前請先透過原始影片觀看。
事實查核
Pipeline v2說法查證是下一次管線升級的一部分。KeyFrame 只會顯示它真正能驗證的內容。
