这次给的是一个 vmware 的虚拟机，直接用 vmware 打开就行，然后 arp-scan -l 找一下 ip

image.png
image.png

nmap -p- -A 192.168.149.176 扫描一下端口

image.png
image.png

让后去访问一下 80 端口，看一下内容

image.png
image.png

robots.txt，是搜索引擎爬虫不能去爬取的，访问一下看看藏了什么东西

image.png
image.png

挨个去访问但是 403 Forbidden，然而删掉后面那个 uploads 就能访问到一个页面

image.png
image.png

搜一下 1’ 报了错误，抓包，sqlmap 跑一下，有两个表

image.png
image.png
image.png
image.png

aiweb1pwn/MyEvilPass_f908sdaf9_sadfasf0sa

扫之前 403 的目录，扫出来一个 info.php

image.png
image.png

访问是一个 phpinfo，在这里可以拿到绝对路径

image.png
image.png

使用 sqlmap 的 –os-shell 功能来拿到一个 shell，注意需要输入能写的路径，可以用那个 upload 的目录，与此同时 sqlmap 还帮我们生成了一个 backdoor 和一个上传页面，可以看 [info] 的输出

image.png
image.png

这时候去访问可以直接用这个传一个自己的 shell

image.png
image.png

kali 上面监听，然后浏览器访问，拿到 shell，可以发现 www-data 对于 /etc/passwd 是有写权限的，所以可以直接把添加一个用户进去，然后 su 一下

1
2
openssl passwd -1 -salt hack yichen
echo 'hack:$1$hack$gP1TCDm4c1ABbBzR6fMid1:0:0::/root:/bin/sh' >> /etc/passwd

这样用户名为：hack，密码为：yichen，切换一下就是 root 权限

image.png
image.png
image.png
image.png