背景描述：隨著網絡安全形勢日益嚴峻，安全攻擊層出不窮，同時，隨著業務數據的價值越來越高，數據泄露、頁面篡改、黑鏈等安全事件使得企業系統所面臨的安全威脅隨之增大，造成的損失愈發嚴重。安全廠商的安全防護產品也是各顯神通，攻防升級不斷加劇，對抗手段、成本都在提升。而作為企業，該如何防護自身的安全風險，除了上各種安全設備，出臺一系列管理制度，加強員工的安全意識，也需培養相應的安全人才，并對攻擊者的攻擊手段有所了解，才能防患于未然。所謂知己知彼，百戰不殆。

本文從攻擊者角度，講述如何拿下一臺目標主機管理員權限。所使用工具、技術皆為攻防研究所用，切勿用于黑灰產行業，滲透千萬條，安全第一條，操作不規范，親人兩行淚！

靶機難度：初級

靶機地址

靶機ip：192.168.1.108

靶機描述：目標為拿下主機的root權限，共有2個flag

用到的知識點、工具和漏洞：

• Nmap端口掃描

• XFF頭篡改

• Burpsuit

• Dirbuster目錄掃描

• 越權

• Hydra ssh爆破

• Php提權

主機探測：netdiscover-i eth0 -r 192.168.1.0/24

端口探測及服務識別：nmap-sS -sV -T5 -A 192.168.1.108

當前靶機開放了22和80端口，首先以80的web服務為突破口。

Ofcourse 先掃波目錄，這里使用的kali自帶的dirbuster

/misc和/config目錄下沒發現啥有用的信息，先看下首頁有啥

提示本站點只能本地訪問，估計是通過XFF頭進行繞過，這里推薦一個火狐插件HeaderEditor,安裝后添加XFF字段

之后再訪問就正常了

首頁關注到了url中page參數，是否存在文件包含或文件讀取，進行了多次嘗試無果。于是注冊了1個用戶登錄進去看看有什么發現

Profile點進去似乎是一個修改密碼的界面

在這里發現了一個關鍵參數user_id=14(url中的參數)，試著去更改該數值，真是喜從中來呀

用戶信息就變了，確定這里存在越權，通過該越權漏洞可以枚舉出所有的用戶信息，我這里剛注冊的用戶id數為14，那么我枚舉出id1-13的所有用戶，這里用burpsuit抓包傳到intruder進行枚舉

將用戶名及密碼信息分別整理存放，下一步可將該信息用于SSH爆破，看是否能爆出用戶名密碼

接下來使用hydra進行爆破

hydra-L user.txt -P pass.txt 192.168.1.108 ssh

得到一對用戶名密碼，接下來使用ssh登錄上去

接下來看看home目錄下有啥東西，

發現一個.my_secret目錄，進去找到了第一個flag

目前只是拿到了低權限賬號，下面要進行提權，提權可通過幾種途徑

• Sudo -l 查詢具有sudo權限命令，然后提權

• SUID提權,find / -perm -u=s -type f 2>/dev/null

• 通過在/etc/passwd添加一個root權限的賬戶進行提權,

• find / -writable -type f 2>/dev/null 查找可利用的可寫文件

• 內核提權

• 其他

這里使用sudo-l 查詢有哪些sudo權限命令

這里需通過php提權

可通過上述命令進行提權

拿到root權限后，讀取最后一個flag