qq_41169485的博客

vscode安装rt-thread.rt-thread-micropython后连接到开发板时出现。这种情况是没有添加到系统环境变量，将一下路径添加到环境变量即可。但是我在vscode中还是没法使用但是在外部终端可以正常连接。还是用pycharm吧。

保存脚本到web服务器下，让靶机下载，注意要让input文件和input.py在同一目录下。这个用户和执行exp后得到的数据库用户账号和密码一样，猜测两者的密码也一样，遂登录。查看/etc/passwd文件，发现有个clapton用户。用户目录下有note.txt和input程序。查看note.txt文档，文中提到缓冲区溢出。目录没有写的权限，所以先赋予权限。从大佬的wp扒下来提权脚本。nmap扫描获取主机ip。运行脚本获取root权限。获取交互式shell。

利用此未授权漏洞，可以获取多位用户的账号和密码，并将其整理成字典。值得注意的是，在重制密码页面，通过查看源代码就可以看到用户密码。靶机开机显示ip为192.168.56.141。使用hydra爆破，得出存在ssh用户。上传linpeas.sh脚本并执行。的id值就可以进入其他用户的主页。，注册一个新用户并登录，点击。上传pspy64监测定时任务。查看config.php文件。使用cd命令，发现被限制了。可以看到本用户的个人信息。直接输入bash即可解除。password字典。

登录clapton账号看到根目录下有多个文件，还有wordlist.txt字典，可能是想让我们用这个字典爆破。复制下来用john爆破，得到clapton用户的密码，但是root的密码爆不出来。看到登录页面是openemr，随在kali中查找该cms的漏洞。爆破目录，基本上的都是目录遍历，不过都没什么用就是了。写有用户secure的账号和密码，但是只能本地登录。扫到wordlist.txt文件，是个字典。保存字典，使用john爆破出root密码。尝试4.1.1版本的漏洞，利用不成功。nc反弹shell成功。

访问主页，发现可以本地文件包含，但是不能远程文件包含。访问file.php发现和主页的包含差不多。上传linpeas.sh脚本并执行。发现capabilities提权。再运行反弹shell。

扫到一个.bash_history文件，下载查看，根据历史命令推测该目录下还存在一个eon文件。访问80端口，自动跳转到443端口，该cms是eyesofnetwork。根据查找到的EyesOfNetwork漏洞，选了一个可以rce的开始利用。使用john爆破zip密码，得到压缩包密码为killah。推测该账号密码是443端口的web页面登录密码，成功登录。搜索该cms的漏洞，可以看到该cms有很多漏洞。解码可知该文件是zip文件，因为有PK头。解码得到压缩包，但是需要密码才能打开。

先获取一下交互式shell，因为/bin/sh没有python，所以先切换到/bin/bash。到tmp目录上传linpeas.sh脚本，并赋予执行权限，因为其他目录没有写入权限。不知为何，尝试了各种命令却一种无法反弹shell，写文件也写不了。访问主页，发现有文件包含，后台会自动加上.php后缀。查找具有SUID权限的程序，php7.0赫然在列。发现sudo版本为1.8.31，但无法利用。可以看到euid=0，是root权限。查看目录权限，原来是没有写的权限。nmap扫描存活主机。

robots.txt文件提示不要忘了扫描zip文件，可能是备份文件泄露。发现一处文件上传，经查该cms有任意文件上传，尝试上传一句话木马成功。上传linpeas.sh脚本执行，得到建议利用的系统历史漏洞。直接使用CVE-2016-5195脏牛提权漏洞。网上查询到该cms的文件上传目录，直接访问。使用密码打开压缩包，这段文本类似账号密码。在管理界面可以把界面语言改成简体中文。使用python获取交互式shell。会下载spammer.zip压缩包。压缩包被加密了，尝试爆破。发现登录界面和安装界面。

为web服务器，应设置为双网卡主机，其中NAT网卡与攻击机相连，VMnet1网卡与其他两台靶机相连 (图中设置错误，应设置网络适配器1为VMnet1)发现l.php探针和phpmyadmin目录，访问探针，暴露了该服务器使用的是phpstudy，所以猜测mysql账号密码为。为了保持会话，我们把后门注入到一个正常的程序里，但又不能影响程序运行，这里选择Everything.exe。VMnet1网卡为仅主机模式，设置IP段为192.168.52.0，确保三台主机均可以相互ping通。

创建名为fracturedocean的目录后，keyfolder文件夹内多出了rootcreds.txt文件。下载用户目录下的keyfile.kdbx文件，这是一个储存密钥的文件，同时自身也有密码。上传执行pspy脚本，监控定时任务，发现key.sh每分钟都在执行。经过逐一测试，该密码是gill用户的密码，登录ssh。有了root权限后，查看key.sh文件内容。脚本，发现keyfolder目录。查看文件内容，发现是root密码。目录下创建以下名称的目录或文件。扫漏洞，没有合适的漏洞。

从用户UID 1001不难看出这是一个用户home目录，我们对此目录具有777的权限，再加上ssh只能通过密钥登录，所以我们把可以上传公钥然后登录此用户。忽然想到，ftp服务的hubert目录和用户的目录不一致，find搜索发现该ftp根目录在另一目录。同时，根据系统定时任务，猜测该ftp目录内的文件会定时同步到hubert的home目录。这里得到几个用户名，猜测是ftp爆破，因为ssh不允许密码登录。在网页首页的源码里发现了一段base64，解码得到一个文件名。nmap扫描存活主机。

登录后台，发现hello.php是可以编辑的，遂写入一句话木马。发现普通用户freddie用户开启了ssh登录，且私钥是可读的。nc反弹shell，注意payload需要url编码。下载linpeas.sh脚本，赋予执行权限并执行。访问hello.php，成功执行phpinfo。在kali上写入私钥文件，并设置为权限为600。使用wpscan扫描器扫描，先爆出用户。将压缩包保存到web服务器下，靶机下载。将域名写入hosts即可正常访问。访问80端口，发现使用域名。执行exp获取root权限。

爆破域名，所以就跳过这一步直接得到test.driftingblues.box了。该脚本会用root权限执行/tmp/emergency程序，但该系统里并没有该程序。编辑/tmp/emergency实现更改root密码，并赋予执行权限。将test.driftingblues.box写入hosts文件。查看首页源代码，在最下方发现一段base64编码。尝试爆破在主页发现的一个用户eric，成功。等待定时任务执行，可以看到任务执行成功了。猜测需要域名访问，首先要知道靶机的域名。

再将公钥导入到/home/robertj/.ssh/authorized_keys，然后ssh连接到robertj用户。http://192.168.56.130/eventadmins/ 目录下有提示信息。尝试登录此服务器，等待一段时间后，尝试登录的用户会显示在此日志里。改变$PATH的配置，使得系统在执行命令时优先在tmp目录下寻找。查找具有SUID的程序，发现getinfo也具有SUID权限，创建cat文件在tmp目录，同时打开一个/bin/bash会话。发现.ssh目录是可读写的。

第二步，用php代码编写MD5碰撞脚本得到b=53724。第五步，绕过array_search函数。第一步，用科学计数法绕过 a=1e9。第三步，绕过is_numeric函数。第四步，绕过is_array函数。一定要对传值url编码。